Security Researcher Skill 技能

技能简介

Security Researcher（slug：clementwalter-security-audit）是一个以权威安全框架为骨架的代码与架构安全评审 Skill，作者 Clement Walter，MIT 协议开源，版本 1.0.0。它的定位不是跑扫描器，而是给"人 + Agent"一套结构化的评审路径：先做威胁建模，再按框架清单逐项核对，最后用统一格式输出发现项（严重度、影响、建议、参考）。仓库 github.com/ClementWalter/rookie-marketplace 是作者用 Claude 生成插件组成的 Claude Code 插件市场，项目规模不大，但这份 SKILL.md 锚定的是公开标准，实用性不依赖社区热度。

核心能力

1. 八套框架对照：NIST CSF 2.0（组织级风险）、CIS Controls v8（企业控制项）、NIST SSDF SP 800-218（安全开发生命周期）、OWASP ASVS（应用安全需求）、OWASP Top 10 2025（常见 Web 失效）、MITRE ATT&CK（攻击技术映射）、SLSA 与 OpenSSF Scorecard（供应链完整性）。
2. 六项基本功前置检查：资产清单、全面 MFA（管理员用硬件密钥、禁止共享账号）、补丁管理、集中日志、经演练可恢复的备份、事件响应预案。
3. STRIDE 威胁建模：按仿冒、篡改、抵赖、信息泄露、拒绝服务、权限提升六类逐条过，并为每个信任边界记录认证策略、数据分级、限流与审计要求。
4. "假设已被入侵"视角：追问单个服务密钥泄露后的爆炸半径，以及单个恶意依赖能否被拦住。
5. 以访问控制为第一优先级：默认拒绝、按资源而非按端点鉴权、短会话、CSRF 防护、鉴权与授权与计费三者分离、高风险动作阶梯认证、RBAC/ABAC 明确管理员边界。
6. 五份专项清单：crypto、smart-contract、supply-chain、webapp、zk，均放在 references 目录下。

安装配置

1. 通过 Skillstore 安装：npx skillstore add clementwalter/security-audit。
2. 作为 Claude Code 插件安装：克隆仓库后加载 security-researcher 插件（含 .claude-plugin/plugin.json）。
3. 支持 Claude、Codex、Claude Code；风险因子为 filesystem 与 scripts，Skillstore 安装建议为"需要确认"，首次使用建议先通读 SKILL.md 与 references 内清单。
4. 需要使用者自行提供准确的系统上下文与源码，它不会自己去扫描。

使用步骤

1. 先划定范围：明确要审的资产、信任边界与授权，未授权的系统不要跑。
2. 用 STRIDE 做威胁建模，列出资产与信任边界。
3. 按六项基本功核对基础控制是否到位，缺项先记录。
4. 针对不同界面选对应清单：Web 用 webapp-checklist，密码学用 crypto-checklist，智能合约用 smart-contract-checklist，ZK 电路用 zk-checklist，CI/CD 与依赖用 supply-chain-checklist。
5. 输出发现项，每条必须带位置、影响、修复建议与参考标准，并按真实可利用率排序。

适用场景

1. 上线前对自家 Web 应用做一次结构化安全自查。
2. 评审一个 PR 是否引入安全影响。
3. 审查 CI/CD、依赖与发布流程的供应链完整性。
4. 智能合约与 ZK 电路上线前的设计评审。
5. 团队要从零建立统一的安全评审话术与输出格式。

适用人群

适合有一定安全基础、需要"框架对齐 + 输出规范"的开发与安全工程师、技术负责人。不适合希望一键出报告的人——它明确不执行扫描器，也不替代渗透测试。

工作原理

它把"框架 → 检查项 → 证据 → 发现 → 修复"落成固定流水线：先用框架把评审范围切成可穷举的检查项，再用 STRIDE 把威胁挂到具体信任边界上，最后用"位置 + 影响 + 建议 + 参考"的固定字段收敛输出，避免出现"感觉不安全但说不清哪里"的空泛结论。它同时写明反面做法：不要把清单走完当成安全证明，不要在没有位置、影响与修复路径时报问题，不要在无授权、无范围的情况下测试系统。

官方链接

• Skillstore 页面：https://skillstore.io/skills/clementwalter-security-audit
• 开源仓库：https://github.com/ClementWalter/rookie-marketplace
• 技能路径：security-researcher/skills/security-audit
• 许可证：MIT

局限说明

它不执行安全扫描器、不验证运行中的系统、不构成合规认证，也不能替代有资质的渗透测试或独立审计。Skillstore 审计确认为纯文档型安全评审技能，无可执行代码、无网络行为、无文件系统动作、无提示注入内容；静态检测命中 14 处均为防御性清单表述导致的误报。