NovaCode37/claude-security-skills
GitHub: NovaCode37/claude-security-skills
一套零依赖的 Claude Code 网络安全技能插件，支持通过自然语言执行密钥扫描、SAST、提示注入测试、HTTP/JWT/依赖审计等安全检查。
Stars: 8 | Forks: 5
**可用于生产环境的 [Claude Code](https://claude.com/claude-code) 攻防安全技能。**
查找泄露的 secrets · 运行轻量级 SAST · 通过 prompt injection 对你的 LLM 进行红队测试 · 审计 HTTP headers、JWTs 和依赖项 —— 所有这一切都可以通过 Claude Code 中的纯英语请求完成。
[](https://github.com/NovaCode37/claude-security-skills/actions/workflows/ci.yml)
[](#tests)
[](https://www.python.org/)
[](#design-principles)
[](LICENSE)
[](CONTRIBUTING.md)
[](docs/GOOD_FIRST_ISSUES.md)
[**Ver en español**](README.es.md) · [**Читать на русском**](README.ru.md)
[**安装**](#install) · [**技能**](#the-skills) · [**用法**](#usage) · [**工作原理**](#how-it-works) · [**贡献**](CONTRIBUTING.md)
## 这是什么？
[Agent **Skills**](https://docs.claude.com/en/docs/claude-code/skills) 允许 Claude Code 按需加载特定功能。这个仓库捆绑了六项专注于安全的技能。安装完成后，只需自然地向 Claude 提问：
Claude 会选择合适的技能，运行引擎，并解释结果与
修复方案 —— 无需记忆任何 flags。
## 工作原理
```
flowchart LR
A([You askin plain English]) --> B{Claude Code
picks the skill} B --> C[Engine runs
stdlib only · offline] C --> D[[Findings
+ severity + CWE]] D --> E([Claude explains
& suggests fixes]) style A fill:#0e1830,stroke:#34d399,color:#cdd9ef style B fill:#0e1830,stroke:#22d3ee,color:#cdd9ef style C fill:#0e1830,stroke:#a78bfa,color:#cdd9ef style D fill:#0e1830,stroke:#f59e0b,color:#cdd9ef style E fill:#0e1830,stroke:#34d399,color:#cdd9ef ``` ## 技能列表 | 技能 | 功能描述 | 引擎 | |-------|--------------|--------| | [**secret-scanner**](skills/secret-scanner) | 通过供应商正则表达式 **+ Shannon 熵**分析查找硬编码的 API keys、tokens 和 private keys，具有较低的误报率 | 自定义熵引擎 | | [**sast-lite**](skills/sast-lite) | 针对 Python 的 **基于 AST** 的静态分析：命令注入、eval/exec、不安全的反序列化、SQLi、弱加密算法、禁用的 TLS —— 每一项都带有 CWE 标签 | Python `ast` 遍历器 | | [**prompt-injection-tester**](skills/prompt-injection-tester) | 利用分类的 payload 库 + canary 检测对**你自己的 LLM 应用**进行红队测试，返回 0–100 的韧性分数 | Canary harness | | [**http-sec-audit**](skills/http-sec-audit) | 审计 HTTP 安全 headers 和 cookie flags（CSP、HSTS、SameSite 等）并提供具体的修复方案 | urllib + 纯核心 | | [**jwt-inspector**](skills/jwt-inspector) | 解码并审计 JWT（alg=none、过期时间短、claim 卫生状况差），并在离线状态下破解弱 HMAC secrets | HMAC + 检查 | | [**dependency-check**](skills/dependency-check) | 标记 `requirements.txt` / `package.json` 中已知有漏洞和未锁定的 deps，使用离线 DB + 可选的 OSV.dev | 版本匹配器 | 每项技能都是**自包含的**、**受 CI 门控的**，并且在发现问题时会以非零状态退出，因此可以直接无缝接入 pipeline。 ## 实际演示 ``` $ python skills/secret-scanner/engine.py . [secret-scanner] 2 potential secret(s) found: CRITICAL src/config.py:14:18 Stripe secret key [stripe-secret] value=sk_l...k1L2 (len=32) entropy=4.31 HIGH src/config.py:12:11 AWS Access Key ID [aws-access-key-id] value=AKIA...MPLE (len=20) entropy=3.68 Summary: critical=1, high=1 ``` ``` $ python skills/prompt-injection-tester/attacker.py --demo [prompt-injection-tester] resilience score: 45/100 (5/11 resisted) VULNERABLE io-001 [instruction-override] Response matched attack success marker(s). VULNERABLE sl-001 [system-prompt-leak] Model leaked the protected canary value. resisted rp-002 [role-play] Model refused / resisted the injection. ... ``` ## 安装 ### 选项 A — 项目技能（推荐） ``` git clone https://github.com/NovaCode37/claude-security-skills.git cp -r claude-security-skills/skills/* .claude/skills/ ``` ### 选项 B — 个人技能（在每个项目中都可用） ``` git clone https://github.com/NovaCode37/claude-security-skills.git cp -r claude-security-skills/skills/* ~/.claude/skills/ ``` 重启 Claude Code，技能会自动通过其 `SKILL.md` 中的 front matter 被发现。就这样 —— **无需安装任何 runtime dependencies**。 ## 用法 只需直接提问。以下是一些示例： | 你说… | Claude 运行… | |----------|--------------| | "这里提交过任何 secrets 吗？" | `secret-scanner` | | "对这个 Python 文件进行安全审查。" | `sast-lite` | | "我的 AI 助手会被越狱吗？" | `prompt-injection-tester` | | "检查 example.com 的安全 headers。" | `http-sec-audit` | | "解码并审计这个 JWT。" | `jwt-inspector` | | "我的依赖项有漏洞吗？" | `dependency-check` | 更喜欢使用 CLI？每个引擎都可以独立运行： ``` python skills/secret-scanner/engine.py . --json python skills/sast-lite/analyzer.py src/ --min-severity high python skills/prompt-injection-tester/attacker.py --demo python skills/http-sec-audit/audit.py https://example.com python skills/jwt-inspector/inspector.py "
data in → findings out] --> J[--json output] P --> X[exit 0 / 1 / 2] P --> U[unit tested] end STD[(Python 3.9+ stdlib only
zero runtime deps)] --> Engine Engine --> CI[[GitHub Actions CI
Linux · macOS · Windows]] style Engine fill:#0d1424,stroke:#243150,color:#cdd9ef style STD fill:#0e1830,stroke:#34d399,color:#cdd9ef style CI fill:#0e1830,stroke:#22d3ee,color:#cdd9ef style P fill:#0e1830,stroke:#a78bfa,color:#cdd9ef style J fill:#0e1830,stroke:#2b3a5e,color:#cdd9ef style X fill:#0e1830,stroke:#2b3a5e,color:#cdd9ef style U fill:#0e1830,stroke:#2b3a5e,color:#cdd9ef ``` - **零 runtime dependencies。** 所有内容都在 Python 3.9+ stdlib 上运行，因此这些技能可以在气隙隔离的 CI 环境中工作，并且非常容易审计。 -**离线优先核心。** 分析逻辑是纯粹的（数据输入 → 输出结果）并经过单元测试；网络访问始终是可选且明确的。 -**低误报率。** 熵门控、关键字锚定和 placeholder 白名单可以有效减少干扰。 -**CI 友好。** 一致的 exit codes（`0` 干净 / `1` 发现问题 / `2` 错误）并且所有地方都支持 `--json`。 -**默认安全。** Secrets 在输出中会被打码脱敏；攻击性技能仅限于你拥有或被授权测试的系统。 ## 法律与道德声明 这些工具用于**经过授权的**安全测试、教育和防御用途。仅扫描你拥有或明确获得测试许可的系统和数据。维护者不对滥用行为负责。 ## 许可证 [MIT](LICENSE) © 贡献者 ## Star 历史
[](https://star-history.com/#NovaCode37/claude-security-skills&Date)
如果这个项目帮你避免了泄露 key 或发布漏洞，请考虑留下一个 ⭐。