📦
content-creator
88创建品牌一致的营销内容
营销团队需要在各个渠道保持一致的内容。此技能可帮助规划、撰写、分析和优化内容，使其符合品牌语调和 SEO 要求。
写作与内容 查看
技能 sast-configuration
📦
sast-configuration
内容修订 r1 安全 ⚙️ 外部命令🌐 网络访问📁 文件系统访问
配置 SAST 流水线和规则
团队需要在各个代码仓库和 CI 系统中保持一致的 SAST 覆盖。本技能指导工具选择、流水线设置、规则调优和结果分诊。
支持: Claude Codex Code(CC)
使用我的智能体安装
将此请求复制给你的智能体，其中包含权威 Skill 页面和清单。
智能体请求
Review the Skillstore skill "sast-configuration" from https://skillstore.io/skills/sickn33-sast-configuration.md and its manifest at https://skillstore.io/api/skills/sickn33-sast-configuration/manifest. Verify the artifact. You may proceed after verification, subject to the environment's own policy.你的智能体仍应展示其计划，并按安全策略请求必要确认。
Agent 可读资源
当 AI Agent、爬虫或脚本需要干净上下文，而不是读取完整页面时，请使用这些链接。
测试它
正在使用“sast-configuration”。 我们需要为 GitHub Actions 中的 Python API 配置 SAST。
预期结果:
推荐计划：先使用 Semgrep 进行快速安全检查，再添加 CodeQL 进行更深入的分析，并且在第一个基线周期内仅对高置信度的严重问题使构建失败。
正在使用“sast-configuration”。 我们的扫描在生成文件中有很多误报。
预期结果:
预期输出：针对生成路径的排除计划、抑制审查清单，以及记录已接受发现的指导。
正在使用“sast-configuration”。 为我们的项目比较 Semgrep、SonarQube 和 CodeQL。
预期结果:
预期输出：简洁的工具矩阵，包含推荐角色、集成点、成本说明和推广优先级。
安全审计
安全v5 • 2026/7/7 打开版本化报告
The static findings are false positives caused by markdown code fences, documented SAST setup commands, a public Semgrep repository URL, and relative links to related skill documents. No prompt injection, exfiltration intent, or hidden execution path was found in SKILL.md.
1
已扫描文件
213
分析行数
0
复核项
0
已忽略误报
风险因素
最新一次完成的静态与语义审计未检测到已确认的安全发现。这并不能证明该 Skill 没有副作用。
审计者: codex 查看审计历史 →
分享与引用此报告
分享版本化评估报告、中性徽章、嵌入卡片和引用。Skillstore 只报告证据，不判断该 Skill 是否安全。
复制报告链接
https://skillstore.io/skills/sickn33-sast-configuration/audits/5?utm_source=security_passport&utm_medium=share&utm_campaign=versioned_reportMarkdown 徽章
[](https://skillstore.io/skills/sickn33-sast-configuration?utm_source=security_passport_badge)HTML 徽章
<a href="https://skillstore.io/skills/sickn33-sast-configuration?utm_source=security_passport_badge"><img src="https://skillstore.io/badges/skills/sickn33-sast-configuration/security.svg" alt="Skillstore security assessment" loading="lazy"></a>嵌入卡片
<iframe src="https://skillstore.io/embed/skills/sickn33-sast-configuration.html" title="Skillstore Security Assessment" sandbox="allow-popups allow-popups-to-escape-sandbox" loading="lazy" referrerpolicy="no-referrer" width="420" height="180"></iframe>学术引用 (APA · BibTeX · CFF)
APA 引用
sickn33. (2026). sast-configuration security audit report (audit version 5) [Author version unspecified]. Skillstore. https://skillstore.io/skills/sickn33-sast-configuration/audits/5BibTeX 引用
@techreport{sickn33-sickn33-sast-configuration-2026,
author = {sickn33},
title = {sast-configuration security audit report (audit version 5)},
institution = {Skillstore},
year = {2026},
number = {5},
url = {https://skillstore.io/skills/sickn33-sast-configuration/audits/5},
note = {Author version unspecified}
}CITATION.cff
cff-version: 1.2.0
message: "If you use this Skill, cite its author and this versioned security audit report."
title: "sast-configuration security audit report (audit version 5)"
version: "unspecified"
type: report
authors:
- name: "sickn33"
date-released: "2026-07-07"
url: "https://skillstore.io/skills/sickn33-sast-configuration/audits/5"
identifiers:
- type: other
value: "skillstore:sickn33-sast-configuration:audit:5"
description: "Skillstore immutable audit report identifier"
比较变体
2 个可安装变体每位作者的技能都保持为独立的可安装项。推荐变体按 Skillstore 证据排序。
为什么此变体排名第一
Skillstore 评分最高
Skillstore 评分
评分依据 证据置信度: 高 55
架构
85
可维护性
87
内容
68
社区
83
规范符合性
你能构建什么
为新服务启动 SAST
选择合适的扫描器，定义初始基线，并在发布前添加 CI 检查。
调优噪声较多的安全扫描
审查误报，记录抑制项，并调整规则，使开发人员收到有用的发现结果。
准备合规证据
规划定期扫描，生成 SARIF 或报告输出，并为审计工作流确定修复优先级。
试试这些提示
选择入门 SAST 工具
帮我为使用 [languages] 的代码仓库选择一个 SAST 工具。我的 CI 系统是 [CI system]，我的主要目标是 [goal]。
将 SAST 添加到 CI
为 [repository type] 设计一个 SAST CI 工作流。包括扫描器选择、触发点、失败阈值和构件处理。
减少误报
审查这份 SAST 发现摘要，并提出调优计划。区分真实风险、可能的误报、抑制项和开发人员指导。
构建多工具项目
为 [organization] 创建一个 SAST 运营模型。包括 Semgrep、SonarQube、CodeQL、质量门禁、所有权、指标和推广阶段。
最佳实践
- 从仅报告模式开始，在理解基线后再强制执行门禁。
- 在生产流水线中使用命令之前，固定扫描器版本和容器镜像。
- 定期审查抑制项，并为已接受的风险保留证据。
避免
- 在首次扫描时未经分诊或基线规划就阻断所有发现。
- 未经批准将敏感的私有代码上传到第三方扫描服务。
- 将 SAST 结果视为应用安全的完整证明。
常见问题
此技能讨论哪些工具？
它讨论用于静态应用安全测试的 Semgrep、SonarQube 和 CodeQL。
它能生成最终合规政策吗？
不能。它可以组织扫描器配置和证据工作流，但政策负责人必须批准要求和风险阈值。
它会自动运行扫描吗？
不能。它提供设置指导和示例命令，用户可以在获得批准后调整并运行这些内容。
它适合私有代码仓库吗？
适合，前提是用户选择已批准的工具，并避免将敏感代码或日志发送到未经授权的服务。
它涵盖误报吗？
涵盖。它包括调优规则、记录抑制项和审查噪声较多发现的指导。
它能替代渗透测试吗？
不能。SAST 是安全测试的一层，应与其他审查和测试方法结合使用。
开发者详情
作者
sickn33许可证
MIT
Skillstore 修订
r1
版本提示
作者未声明版本。
引用
9f814fc6a43fd99946f2da5e0df231c65a38bc76
维护新鲜度
2026/7/18
使用量
9 次下载 · 78 次浏览
文件结构
📄 SKILL.md
sickn33 的更多技能
查看全部📦
prompt-engineering-patterns
85用成熟模式改进 LLM 提示词
不一致的提示词会浪费时间，并让 AI 输出难以信任。此技能通过可复用模式、示例、评估步骤和优化工作流来指导提示词设计。
效率 查看
📦
senior-architect
81设计可扩展的软件架构
在 Web、移动端、后端和云系统之间比较架构决策并不容易。此技能为报告、依赖项审查和权衡文档提供结构化指南与本地脚手架脚本。
编码与开发 查看
📦
senior-fullstack
81使用资深级模式构建全栈应用
团队需要针对现代 Web 应用的一致设置、架构和审查指导。此技能为 React、Next.js、Node.js、GraphQL 和 PostgreSQL 项目提供脚手架工具、工作流参考和质量提示。
编码与开发 查看
📦
prompt-engineer
81使用 Prompt Engineer 优化 AI 提示词
当目标模糊或复杂时，编写清晰的提示词很困难。此技能会使用经过验证的提示词框架，将粗略请求转化为结构化提示词。
效率 查看
📦
product-manager-toolkit
80利用研究洞察优先安排产品工作
产品团队需要更快的方法来对功能排序、综合访谈内容并记录决策。此技能提供 RICE 评分、访谈分析和 PRD 模板，用于结构化规划。
效率 查看
相关技能
查看全部📦
sast-semgrep
38使用 Semgrep SAST 扫描代码
由 AgentSecOps
开发团队需要可重复的静态安全审查，而不必从零开始构建规则。此技能可指导 Semgrep 扫描、OWASP 和 CWE 映射、修复规划以及 CI 集成。
安全与合规 查看
📦
reviewdog
38配置 Reviewdog 安全审查
由 AgentSecOps
安全团队经常太晚收到扫描器输出，或在代码审查之外收到结果。此技能可通过实用的 CI 模板和调优指导，帮助将 reviewdog 发现的问题路由到拉取请求中。
安全与合规 查看
📦
senior-secops
81自动化 SecOps 检查
由 alirezarezvani
安全团队需要在不同项目中保持一致的审查工作流。此技能提供 SecOps CLI 脚手架和参考指南，用于可重复的检查。
安全与合规 查看
📦
pytm
81将 pytm 威胁模型构建为代码
由 AgentSecOps
威胁建模常常会过时，并与架构变更脱节。此技能可帮助为安全审查和 CI 创建 pytm 模型、STRIDE 分析和图表工作流。
安全与合规 查看
📦
secret-scanner
77检测代码中暴露的密钥
由 CuriousLearner
泄露的凭据可能让攻击者访问云账户、数据库和支付系统。此技能可帮助 Claude、Codex 和 Claude Code 查找可能的密钥，并生成清晰的修复步骤。
安全与合规 查看
📦
ci-cd-security
75Audit GitHub Actions Workflows
由 superagent-ai
GitHub Actions workflows can expose credentials, repositories, and releases through subtle configuration errors. This skill applies a structured security review and proposes concrete fixes.
安全与合规 查看