📦
appinsights-instrumentation
84使用 Application Insights 检测 Azure 应用
为 Azure 托管的应用添加可靠遥测，在不同框架和部署模型中可能很困难。此技能提供简明的 Application Insights 设置指导、SDK 参考和 Azure 配置模式。
DevOps 与基础设施 查看
技能 entra-app-registration
📦
entra-app-registration
v0.0.0-placeholder 内容修订 r2 高风险 🌐 网络访问📁 文件系统访问⚙️ 外部命令🔑 环境变量
配置 Microsoft Entra 应用注册
应用注册需要谨慎选择 OAuth 流、重定向 URI、权限和凭据。此技能为 Microsoft Entra ID 应用程序提供引导式设置路径、示例和安全检查。
支持: Claude Codex Code(CC)
安装前请停下并请求确认。
请审查安装计划，并在更改文件前获得用户明确同意。
使用我的智能体安装
将此请求复制给你的智能体，其中包含权威 Skill 页面和清单。
智能体请求
Review the Skillstore skill "entra-app-registration" from https://skillstore.io/skills/microsoft-entra-app-registration.md and its manifest at https://skillstore.io/api/skills/microsoft-entra-app-registration/manifest. Verify the artifact. Stop and obtain explicit user consent before installing or changing files.你的智能体仍应展示其计划，并按安全策略请求必要确认。
Agent 可读资源
当 AI Agent、爬虫或脚本需要干净上下文，而不是读取完整页面时，请使用这些链接。
测试它
正在使用“entra-app-registration”。 我需要一个带有 Microsoft Graph 登录的新 Web 应用注册。
预期结果:
- 一份包含租户、平台、重定向 URI 和受众决策的注册检查清单。
- 一项从 User.Read 开始的权限计划，并说明仅在需要时才使用管理员同意。
- 一条用于登录、令牌声明和 Microsoft Graph 配置文件访问的验证路径。
正在使用“entra-app-registration”。 我的控制台应用需要 Microsoft 身份身份验证。
预期结果:
- 针对交互式身份验证或设备代码身份验证的流推荐。
- 所选语言的 MSAL 设置指南。
- 针对重定向 URI、租户和同意错误的故障排除步骤。
正在使用“entra-app-registration”。 我需要加固一个服务到服务注册。
预期结果:
- 一份客户端凭据检查清单，优先考虑证书或托管标识。
- 关于避免硬编码密钥并安全存储所需凭据的指南。
- 一项针对权限范围、管理员同意和凭据轮换的审查计划。
安全审计
高风险v6 • 2026/7/23 打开版本化报告
Most static alerts are lexical false positives caused by Markdown, Microsoft endpoints, OAuth scopes, and explicit Azure administration examples. Confirmed risks include unsafe placeholder redirects, credential-reset commands, and an unguarded cleanup loop. Semantic review also found a source-embedded secret pattern, broad default Graph permissions, and overbroad public-client guidance.
18
已扫描文件
2,802
分析行数
9
复核项
0
已忽略误报
已确认安全问题 (9)
高
Client Secret Embedded in Source Example
The Node.js example places the client secret directly in source configuration. Users who replace the placeholder may commit a live credential to version control.
The clientSecret field is explicitly populated from an app-registration placeholder inside source code. The surrounding example provides no secure retrieval pattern.
高
Overprivileged Default API Permissions
The deployable Bicep example requests Mail.Read and application-level User.Read.All by default. An approved deployment can expose mailbox and directory data beyond basic sign-in needs.
The permission IDs and comments directly configure delegated mail access and tenant-wide application user access. These permissions are unrelated to a minimal registration baseline.
中
System reconnaissance
az ad app credential reset --id $APP_ID
The command resets credentials without --append, and the guide states that this deletes existing credentials. Running it can immediately break every client using those credentials.
中
System reconnaissance
az ad app credential reset --id $APP_ID --years 1
The one-year secret command resets credentials without --append. It can invalidate all existing application credentials and cause an authentication outage.
中
System reconnaissance
az ad app credential reset --id $APP_ID --end-date "2025-12-31"
The dated secret command resets credentials without --append. It can invalidate existing clients before they migrate to the new credential.
中
System reconnaissance
az ad app credential reset --id $APP_ID --cert "@path/to/cert.pem"
The certificate upload uses credential reset without --append. It can remove existing passwords and certificates, causing service disruption.
中
System reconnaissance
az ad app delete --id $APP_ID
This line deletes every application returned by a pattern-based cleanup loop without confirmation. A broad match can remove valid identity applications and interrupt authentication.
中
System reconnaissance
az ad app credential reset --id $APP_ID --years 1
The troubleshooting fix resets all application credentials without warning or --append. Applying it can invalidate active clients while resolving one expired secret.
显示全部 9 条已确认问题
中
Overbroad Public Client Flow Enablement
The beginner guide tells every console app to enable public client flows, including resource owner password flow. This expands the authentication surface without confirming the required flow.
The text explicitly identifies resource owner password flow and directs console-app users to enable the setting. It does not limit the advice to device-code requirements.
能力复核项 (9)
这些是真实的本地能力，对此技能可能是预期行为，因此需要复核，但不会按已确认恶意行为计分。
中
Hardcoded URL
'https://myapp.azurewebsites.net/signin-oidc'
This deployable template registers a non-reserved external hostname as a default web redirect URI. An unchanged deployment could direct authorization responses to a domain outside the user's control.
中
Hardcoded URL
'https://myapp.azurewebsites.net'
This deployable template registers a non-reserved external hostname as a default SPA redirect URI. An unchanged deployment could expose authorization responses to another domain.
中
Hardcoded URL
logoutUrl: 'https://myapp.azurewebsites.net/signout-oidc'
The executable template sets an unverified external logout URL by default. An unchanged deployment can redirect signed-out users to a domain outside their control.
中
Hardcoded URL
--web-redirect-uris "https://myapp.com/callback" \
This executable example registers myapp.com as an OAuth callback without requiring replacement. Copying it unchanged could authorize redirects to a domain the user does not control.
中
Hardcoded URL
--web-redirect-uris "https://myapp.com/callback" \
This multi-tenant example registers myapp.com as an OAuth callback without a replacement guard. The external placeholder can become an unauthorized redirect destination.
中
Hardcoded URL
--web-redirect-uris "https://myapp.com/callback" "https://myapp.com/auth"
This update command adds external myapp.com callback URLs to an existing registration. Running the example unchanged creates redirect destinations outside the user's verified domains.
中
Hardcoded URL
--public-client-redirect-uris "http://localhost" "myapp://auth"
The command registers a generic custom URI scheme that another local application could claim. Native clients should use protected app links or carefully validated loopback redirects.
中
Hardcoded URL
--web-redirect-uris "http://localhost:3000" "https://myapp.com/callback"
This remediation command registers myapp.com as a live callback without a replacement check. Copying it unchanged can introduce an unauthorized redirect destination.
低
Hardcoded URL
homePageUrl: 'https://myapp.azurewebsites.net'
The executable template assigns an unverified external hostname as application metadata by default. Users may publish a link they do not control if they deploy it unchanged.
风险因素
🌐 网络访问 (50)
references/api-permissions.md:50 references/api-permissions.md:51 references/api-permissions.md:60 references/BICEP-EXAMPLE.bicep:20 references/BICEP-EXAMPLE.bicep:21 references/BICEP-EXAMPLE.bicep:26 references/BICEP-EXAMPLE.bicep:27 references/BICEP-EXAMPLE.bicep:55 references/BICEP-EXAMPLE.bicep:56 references/BICEP-EXAMPLE.bicep:67 references/BICEP-EXAMPLE.bicep:69 references/BICEP-EXAMPLE.bicep:177 references/BICEP-EXAMPLE.bicep:178 references/BICEP-EXAMPLE.bicep:179 references/BICEP-EXAMPLE.bicep:180 references/cli-commands.md:31 references/cli-commands.md:39 references/cli-commands.md:47 references/cli-commands.md:55 references/cli-commands.md:117 references/cli-commands.md:123 references/cli-commands.md:129 references/cli-commands.md:366 references/console-app-example.md:257 references/console-app-example.md:264 references/console-app-example.md:334 references/console-app-example.md:197 references/console-app-example.md:46 references/console-app-example.md:87 references/console-app-example.md:141 references/console-app-example.md:198 references/console-app-example.md:270 references/console-app-example.md:282 references/console-app-example.md:310 references/console-app-example.md:318 references/console-app-example.md:334 references/first-app-registration.md:184 references/first-app-registration.md:187 references/oauth-flows.md:26 references/oauth-flows.md:50 references/oauth-flows.md:62 references/oauth-flows.md:87 references/oauth-flows.md:126 references/oauth-flows.md:139 references/oauth-flows.md:177 references/oauth-flows.md:181 references/oauth-flows.md:203 references/oauth-flows.md:228 references/oauth-flows.md:240 references/oauth-flows.md:243
📁 文件系统访问 (18)
references/api-permissions.md:60 references/api-permissions.md:61 references/console-app-example.md:318 references/first-app-registration.md:184 references/oauth-flows.md:181 references/oauth-flows.md:187 references/oauth-flows.md:188 references/oauth-flows.md:189 references/sdk/azure-identity-dotnet.md:11 references/sdk/azure-identity-dotnet.md:19 references/sdk/azure-identity-java.md:17 references/sdk/azure-identity-java.md:25 references/sdk/azure-identity-py.md:13 references/sdk/azure-identity-py.md:21 references/sdk/azure-identity-ts.md:11 references/sdk/azure-identity-ts.md:19 references/sdk/azure-keyvault-py.md:18 references/sdk/azure-keyvault-secrets-ts.md:18
⚙️ 外部命令 (30)
references/auth-best-practices.md:16 references/auth-best-practices.md:81 references/auth-best-practices.md:87 references/cli-commands.md:90 references/cli-commands.md:99 references/cli-commands.md:106 references/cli-commands.md:308 references/cli-commands.md:369-372 references/cli-commands.md:390 references/cli-commands.md:362 references/cli-commands.md:402 references/console-app-example.md:329-363 references/console-app-example.md:363-376 references/sdk/azure-identity-java.md:25 references/sdk/azure-identity-py.md:21 references/sdk/azure-identity-ts.md:19 SKILL.md:58 SKILL.md:66 SKILL.md:67 SKILL.md:68 SKILL.md:69 SKILL.md:137 SKILL.md:138 SKILL.md:139 SKILL.md:140 SKILL.md:141 SKILL.md:142 SKILL.md:151 SKILL.md:152 SKILL.md:153
🔑 环境变量 (14)
references/auth-best-practices.md:43 references/auth-best-practices.md:101 references/auth-best-practices.md:104 references/auth-best-practices.md:105 references/auth-best-practices.md:43 references/auth-best-practices.md:101 references/auth-best-practices.md:104 references/auth-best-practices.md:105 references/auth-best-practices.md:57 references/auth-best-practices.md:57 references/auth-best-practices.md:69 references/auth-best-practices.md:104 references/auth-best-practices.md:105 references/sdk/azure-identity-py.md:26
检测到的模式
System reconnaissance×6
审计者: codex 查看审计历史 →
分享与引用此报告
分享版本化评估报告、中性徽章、嵌入卡片和引用。Skillstore 只报告证据，不判断该 Skill 是否安全。
复制报告链接
https://skillstore.io/skills/microsoft-entra-app-registration/audits/6?utm_source=security_passport&utm_medium=share&utm_campaign=versioned_reportMarkdown 徽章
[](https://skillstore.io/skills/microsoft-entra-app-registration?utm_source=security_passport_badge)HTML 徽章
<a href="https://skillstore.io/skills/microsoft-entra-app-registration?utm_source=security_passport_badge"><img src="https://skillstore.io/badges/skills/microsoft-entra-app-registration/security.svg" alt="Skillstore security assessment" loading="lazy"></a>嵌入卡片
<iframe src="https://skillstore.io/embed/skills/microsoft-entra-app-registration.html" title="Skillstore Security Assessment" sandbox="allow-popups allow-popups-to-escape-sandbox" loading="lazy" referrerpolicy="no-referrer" width="420" height="180"></iframe>学术引用 (APA · BibTeX · CFF)
APA 引用
microsoft. (2026). entra-app-registration security audit report (audit version 6) [Author version 0.0.0-placeholder]. Skillstore. https://skillstore.io/skills/microsoft-entra-app-registration/audits/6BibTeX 引用
@techreport{microsoft-microsoft-entra-app-registration-2026,
author = {microsoft},
title = {entra-app-registration security audit report (audit version 6)},
institution = {Skillstore},
year = {2026},
number = {6},
url = {https://skillstore.io/skills/microsoft-entra-app-registration/audits/6},
note = {Author version 0.0.0-placeholder}
}CITATION.cff
cff-version: 1.2.0
message: "If you use this Skill, cite its author and this versioned security audit report."
title: "entra-app-registration security audit report (audit version 6)"
version: "0.0.0-placeholder"
type: report
authors:
- name: "microsoft"
date-released: "2026-07-23"
url: "https://skillstore.io/skills/microsoft-entra-app-registration/audits/6"
identifiers:
- type: other
value: "skillstore:microsoft-entra-app-registration:audit:6"
description: "Skillstore immutable audit report identifier"
Skillstore 评分
评分依据 证据置信度: 中 50
架构
90
可维护性
87
内容
70
社区
91
规范符合性
你能构建什么
创建第一个应用注册
逐步完成平台类型、重定向 URI、权限、客户端凭据和验证步骤。
添加 Microsoft 身份登录
选择 OAuth 流，并为控制台、Web、SPA 或服务应用程序调整 MSAL 示例。
标准化租户应用设置
使用 CLI 和 Bicep 参考来记录可重复的注册和服务主体工作流。
试试这些提示
规划注册
帮助我为 Web 应用规划 Microsoft Entra 应用注册。询问缺失的详细信息，并列出安全默认值。
选择 OAuth 流
比较适用于我的应用类型的 OAuth 流，并推荐最安全的 Microsoft 身份平台配置。
审查权限
按照最小权限原则审查这些 Microsoft Graph 权限，并解释哪些权限需要管理员同意。
准备部署指南
为使用 CLI 或 Bicep 的 Entra 应用注册创建租户安全的发布检查清单，包括回滚检查。
最佳实践
- 从最小的 Microsoft Graph 权限开始，并记录每一次管理员同意决策。
- 对生产服务使用托管标识或证书，而不是长期有效的客户端密钥。
- 在发布注册之前，测试重定向 URI、令牌受众和租户 ID。
避免
- 不要在没有书面审批路径的情况下，将广泛的应用程序权限复制到生产环境。
- 不要将客户端密钥存储在源代码管理、聊天日志或纯文本部署文件中。
- 不要在本地开发场景之外使用 localhost 重定向 URI。
常见问题
此技能会自动创建应用注册吗？
不会。它为拥有 Azure 访问权限的用户提供指南、示例和审查步骤。
它能帮助在委托权限和应用程序权限之间做选择吗？
可以。它会解释两种权限类型，以及何时需要管理员同意。
它支持 MSAL 示例吗？
支持。它包含适用于 C#、Python 和 JavaScript 的控制台应用模式。
它适合用于生产安全决策吗？
请将其用作实现指南。生产注册仍然需要租户策略和安全审查。
它能排查重定向 URI 错误吗？
可以。它涵盖常见的 Entra 错误代码、重定向 URI 匹配和令牌验证检查。
它涵盖密钥存储吗？
可以。它建议使用 Key Vault、托管标识、凭据轮换，并避免硬编码密钥。
开发者详情
作者
microsoft许可证
MIT
作者版本
v0.0.0-placeholder
Skillstore 修订
r2
引用
ebdfe608f5de2b66ff37ab4af12af8ac4f5e8006
维护新鲜度
2026/7/27
使用量
7 次下载 · 167 次浏览
microsoft 的更多技能
查看全部📦
azure-rbac
80选择最小权限 Azure RBAC 角色
Azure 角色分配很容易授予过多权限。此技能可帮助选择最小权限角色，并起草 Azure CLI 和 Bicep 分配步骤。
安全与合规 查看
📦
azure-compliance
79审计 Azure 合规性和 Key Vault 过期状态
Azure 团队需要在风险演变为故障之前获得清晰的合规性发现。此技能会运行限定范围的审计，并将结果转化为优先级明确的行动项。
安全与合规 查看
📦
azure-resource-visualizer
79可视化 Azure 资源架构
仅凭清单列表可能很难理解 Azure 资源组。此技能会将资源详细信息转换为清晰的 Mermaid 图表和 Markdown 文档。
DevOps 与基础设施 查看
📦
azure-kusto
79使用 KQL 分析 Azure Data Explorer
如果缺少合适的 KQL 结构和架构上下文，Azure Data Explorer 数据可能很难检查。此技能帮助 Claude、Codex 和 Claude Code 构建聚焦的 KQL 查询、探索架构并排查 ADX 结果问题。
数据与分析 查看
📦
azure-reliability
79评估 Azure 应用可靠性
Azure PaaS 应用通常会隐藏单区域和存储冗余缺口。此技能会发现缺口，并指导已确认的 Azure CLI 或 IaC 修复。
DevOps 与基础设施 查看
相关技能
查看全部📦
azure-identity-rust
79为 Rust 构建 Azure Identity 身份验证
由 sickn33
Rust 团队需要为本地开发和云部署明确 Azure 身份验证选择。此技能说明 azure_identity 凭据、设置模式以及安全的选择指导。
编码与开发 查看
📦
azure-postgres-ts
78构建 Azure PostgreSQL TypeScript 连接
由 sickn33
团队需要可靠示例，以便将 TypeScript 服务连接到 Azure PostgreSQL，同时避免不安全的查询模式。此技能提供 node-postgres 设置、身份验证选项、连接池、事务以及 TypeScript 使用指南。
编码与开发 查看
📦
azure-identity-py
78为 Python 构建 Azure Identity 身份验证
由 sickn33
Python Azure 应用需要在本地开发、CI 和托管工作负载中做出正确的身份验证选择。此技能指导 DefaultAzureCredential、托管标识、服务主体、令牌范围以及异步凭据清理。
编码与开发 查看
📦
azure-identity-dotnet
78为 .NET 实现 Azure Identity
由 sickn33
.NET 中的 Azure 身份验证有许多凭据选择和生产环境权衡。此技能为 Azure.Identity、DefaultAzureCredential、托管标识和服务主体提供简洁模式。
编码与开发 查看
📦
azure-identity-java
69为 Java 实现 Azure Identity
由 sickn33
对于 Java 应用程序，Azure 身份验证选项可能令人困惑。此技能会解释凭据选项，并说明何时使用每种 Azure Identity 模式。
编码与开发 查看
📦
universal-audit
92Audit Software Releases with Evidence
由 glenskii
Release decisions often rely on incomplete evidence and inconsistent standards. This skill applies structured controls, deterministic scoring, and mandatory gates to assess readiness.
安全与合规 查看