安全技能包

在需求含糊时先提出澄清问题，避免基于猜测直接动手，适合需求不完整或存在多种理解的任务开始阶段。

通过细粒度的代码分析建立系统架构上下文，适合安全审计前理解调用关系、数据流和关键组件。

面向智能合约的安全工具集，提供针对多条区块链的漏洞扫描，适合合约开发与审计阶段排查风险。

用于搜索和提取 Burp Suite 项目文件中的数据，适合从抓包记录里查找请求、响应和安全测试线索。

用于诊断和修复 Claude in Chrome MCP 扩展的连接问题，适合扩展无法连接或通信异常时排查配置与环境。

检测加密代码中由编译器优化引入的时序侧信道，适合审查密码学实现的常量时间特性并定位潜在泄漏点。

用于为内部文化文档建立索引并支持检索，适合把分散的说明和资料整理成可查询的知识库。

结合 git 历史对代码差异做安全导向的审查，适合在合并或发布前检查改动可能引入的风险。

提供 DWARF 调试格式的相关知识，用于解析调试信息、符号和类型数据，适合排查二进制调试与符号化问题。

识别智能合约中会改变状态的入口函数，适合审计前梳理攻击面并确定重点检查的调用路径。

扫描 Android APK 中的 Firebase 配置错误与安全隐患，适合移动应用上线前检查后端暴露和权限问题。

核查修复提交是否真正解决审计发现的问题，并确认没有引入新缺陷，适合漏洞修复后的复核环节。

检测硬编码密钥、默认凭据和弱加密等不安全默认配置，适合在代码审查或安全扫描中定位配置风险。

介绍使用 uv、ruff、ty 和 pytest 的现代 Python 工程实践，适合搭建工具链、规范代码风格和编写测试。

介绍面向多种语言和智能合约的基于属性测试，适合用自动生成的输入验证代码在边界条件下的正确性。

用于编写和改进 Semgrep 规则以检测漏洞模式，适合把审计经验沉淀为可复用的静态扫描规则。

把已有的 Semgrep 检测规则迁移到新的目标语言，并通过测试驱动的方式验证改写结果。适用于跨语言复用安全规则的场景，产出可在新语言代码上运行的规则和验证用例。

识别代码中容易误用的 API 和危险配置项，帮助在审计或设计评审阶段提前发现隐患。适用于安全审计与架构检查，输出问题清单及对应的风险说明。

面向区块链审计的规范一致性检查，对照白皮书或设计规范核对合约实现是否符合描述。适用于智能合约上线前的审查，输出差异点与偏离项分析。

整合 CodeQL、Semgrep 与 SARIF 的静态分析工具集，用于对代码库做规则扫描和结果汇总。适合安全审计与持续集成场景，产出可统一查看的扫描报告。

围绕测试手册整理的实践集合，涵盖模糊测试、静态分析和运行时检测工具的使用方法。适用于提升代码健壮性、发现内存错误的测试任务，提供可参考的操作流程。

基于模式匹配查找与已知漏洞相似的代码位置，用于在项目中排查同类问题。适合漏洞修复后的全面复查，产出可疑位置列表供进一步人工确认。