skill-file-security
Netxeo/skill-file-security加载项目详情…
本应用为开源项目，仅供学习研究，请遵守其开源协议。
微信扫码咨询客服
POMOAI — 让开源 AI 即刻运行
加载项目详情…
本应用为开源项目，仅供学习研究，请遵守其开源协议。
想象一下这个场景：你的团队正在用 Cursor 开发一个包含 Supabase 后端、Next.js 前端的项目，一切看起来井井有条。直到有一天，安全审计发现——.env.local 文件里赫然躺着一个 NEXT_PUBLIC_SUPABASE_SERVICE_ROLE_KEY，服务角色密钥直接暴露在前端代码中，攻击者只要打开浏览器控制台就能拿到这把"万能钥匙"，读写整个数据库。
这不是虚构的场景，这是真实发生的数据库泄露。传统的静态分析工具（SAST）在这种情况下往往无能为力，因为密钥就在环境变量文件里，看起来"只是配置"。但 Skill File Security 做的事，就是让 AI 编码助手在写代码的第一时间就能识别这类问题——不是事后扫描，而是实时内嵌在开发工作流中。
Skill File Security 由法国开发者 Netxeo 创建（GitHub: Netxeo），项目采用 MIT 许可证，托管于 npm 平台（包名 @netxeo/security-skill）。作者的核心洞察是：AI 编码助手（Claude Code、Cursor、Windsurf、Cline、GitHub Copilot+）已经深度融入现代开发流程，但这些 AI 助手本身缺乏系统化的安全知识，会在日常编程中不经意间引入漏洞。
传统的安全扫描工具（如 SonarQube）只能扫描已写好的代码，且擅长检测代码语法层面的问题（如 SQL 注入、硬编码密码），但对于业务逻辑层面的安全缺陷——如子会话固定攻击（Sub-session Fixation）、微妙的权限升级路径、上下文相关的认证绕过——传统 SAST 工具往往力不从心。而 AI 编码助手恰好在这些"语义理解"领域有优势，能够理解代码的业务逻辑，从而发现传统工具漏掉的问题。
Skill File Security 正是填补了这个空白：它将完整的网络安全知识体系（OWASP Top 10、CWE Top 25、ASVS Level 1-3）以结构化指令的形式注入到 AI 助手的上下文中，让 AI 在编写每一行代码时都能自动考虑安全因素。
安装 Skill File Security 只需要一条命令：
npx @netxeo/security-skill
交互式安装模式会通过 5 个简单问题自动检测项目技术栈（Next.js、Supabase、Docker 等），按需安装针对性的安全规则。如果追求速度，也可以使用静默模式一键安装所有规则：
npx @netxeo/security-skill --yes
安装过程会做三件事：
.skills/security/ 目录下创建 29 个安全检查模块，覆盖源代码安全的方方面面CLAUDE.md、Cursor 的 .cursorrules、Copilot+ 的 .github/copilot-instructions.md 等），让这些 AI 助手在对话中自动加载安全规则.env*.local、*.key、*.pem 等敏感文件加入 gitignore，防止密钥意外提交安装完成后，在 AI 助手中输入命令即可使用各项安全功能：
| 命令 | 功能 |
|---|---|
/security-scan | 30 秒快速扫描，仅报告关键问题 |
/security-audit | 完整审计，生成安全评分（满分 100）+ 详细报告文件 |
/security-fix | 自动修复审计发现的问题（修复前会请求确认） |
/security-status | 查看当前安全评分和历史记录 |
/security-incident | 安全事件响应 playbook |
/security-explain | 用通俗语言解释某条安全规则 |
安装完成后，AI 助手会覆盖 25 个安全领域，从基础的密钥管理（Secrets Management）到高级的攻击向量（AI/LLM 安全、Bot/DDoS 防护），几乎涵盖了 2026 年源代码安全的全部知识体系。
项目采用典型的 JavaScript 模块化架构，核心由以下部分组成：
入口脚本（bin.js / install.js / interactive.js）：
bin.js：npm 包入口，注册 security-skill 命令行工具install.js：静默安装脚本，批量生成各 AI 助手的配置文件interactive.js：交互式安装，检测技术栈后按需生成规则安全指令库（instructions/ 目录，共 29 个模块）：
每个模块对应一个安全领域，以 Markdown 文件形式存储，AI 助手在处理相关代码时会自动参考这些指令：
00-stack-detection.md：技术栈自动检测01-secrets-management.md：密钥和凭证管理02-network-protection.md：网络安全03-security-headers.md：HTTP 安全响应头04-auth-sessions.md：身份认证与会话管理05-cryptography.md ~ 27-incident-response.md：覆盖密码学、JWT、数据库安全、Docker 安全、协议安全、注入防护、竞态条件、文件上传、DNS/邮件、供应链安全、AI/LLM 安全等模板库（templates/ 目录）：
项目为每种 AI 助手和每种技术栈提供了配置模板，包括：
.cursorrules、.windsurfrules、.clinerules、AGENTS.md、GEMINI.md、CLAUDE.md）.gitignore、.env.example、.gitleaks.toml）nginx.conf、express-helmet.js、next.config.js 等）检查清单（checklists/ 目录）：
针对不同部署场景的检查清单：Docker 部署检查、Firebase 检查、部署前检查、Supabase RLS 检查等。
测试框架：
使用 Vitest 进行测试覆盖（vitest.config.js），有 tests/install.test.js 和 tests/interactive.test.js 两个测试文件，覆盖安装逻辑的自动化测试。
Skill File Security 是一个纯命令行工具，不提供 Web UI，也不提供独立服务。运行门槛极低：只需要 Node.js >= 18.0.0 和 npm（或直接用 npx）。安装后，它以配置文件形式存在于项目中，AI 助手通过读取这些配置文件来加载安全知识，不需要运行任何后台服务。
因此：
如果硬要给一个"部署难度"评分，这是最低档——极简单。
优势：
npx 命令即可接入，不需要学习任何新工具或新流程局限：
2026 年，随着 AI 编码助手在开发团队中的普及，"AI 编程时代的安全问题"日益凸显。一方面，AI 能够以前所未有的速度生成代码；另一方面，这些 AI 生成的代码同样可能包含安全漏洞——甚至因为 AI 生成代码的一致性和规模化，漏洞的传播速度和范围也远超人工编码时代。
Skill File Security 代表了一种新的安全思路：不是让安全工具去扫描 AI 的产出，而是让 AI 本身具备安全意识，在源头预防漏洞。这比事后修复成本低得多，也更符合"安全左移"（Shift Left Security）的行业趋势。
从增长数据来看，项目自 2026 年 5 月创建以来已获得 69 Stars（截至分析时），考虑到其发布时间较短，且主要面向 AI 编码助手用户群体，这个增长速度值得关注。
总结：如果你在团队中使用 Claude Code、Cursor 或其他 AI 编码助手，Skill File Security 是目前将安全知识注入这些工具的最简单、最全面的方案。一条命令覆盖 29 个安全领域、OWASP/CWE/ASVS 全套标准，零学习成本，零运维负担。