内容
# 🔍 安全审计工具 — Claude 代码技能
一款 Claude 代码技能，用于在安装前自动审计 GitHub 仓库。灵感来自于对 Claude SEO 技能的真实安全审计，该审计手动花费数小时 — 该技能在几分钟内完成。
## 它能做什么
当您输入类似的内容时：
```
在安装前审计此技能：https://github.com/someone/some-skill
```
或
```
安装这个安全吗？https://github.com/someone/some-skill
```
Claude 代码会自动：
1. 将仓库克隆到一个安全的沙盒文件夹
2. 映射结构（安装内容）
3. 读取和分析安装脚本
4. 扫描 Python 依赖项（`requirements.txt`）
5. 审计 npm 依赖项（`package.json`）— 包括危险的 `postinstall` 脚本
6. 审计 Docker 配置（`Dockerfile`，`docker-compose.yml`）— 包括危险的卷挂载和特权容器
7. 运行 grep 扫描以查找危险模式（eval，os.system，凭证盗窃...）
8. 分析运行时脚本和钩子
9. 给出明确的结论：✅ 安全 / ⚠️ 谨慎 / 🚨 风险
## 支持的项目类型
| 类型 | 检查的文件 |
|------|--------------|
| Python | `requirements.txt`，`pyproject.toml`，`.py` 脚本 |
| Node.js / npm | `package.json`，`preinstall`/`postinstall` 脚本 |
| Docker | `Dockerfile`，`docker-compose.yml`，卷挂载，基础镜像 |
| Shell | `install.sh`，`install.ps1`，钩子 |
## 支持的语言
中文, 英语, Slovak, Czech, 德语, 法语, 意大利语, 波兰语, 西班牙语。
## 安装
```bash
git clone https://github.com/MarPek6/Security-audit-AI-Skills-for-Claude ~/.claude/skills/security-auditor
```
或手动：
```bash
mkdir -p ~/.claude/skills/security-auditor/references
cp SKILL.md ~/.claude/skills/security-auditor/
cp references/red-flags.md ~/.claude/skills/security-auditor/references/
```
## 用法
在 Claude 代码（`claude`）中：
```
审计 https://github.com/someone/claude-skill
安装这个安全吗？ https://github.com/user/repo
在运行 install.sh 前检查此仓库：https://github.com/user/tool
在安裝前檢查： https://github.com/user/mcp-server
檢查此技能： https://github.com/user/skill
```
## 审计内容
- `install.sh` / `install.ps1` — 安装脚本
- `requirements.txt` / `package.json` — 依赖项
- `package.json` 脚本 — 危险的 `preinstall` / `postinstall` 钩子
- `Dockerfile` — 基础镜像来源，硬编码秘密，根用户
- `docker-compose.yml` — 危险的卷挂载，特权容器
- `scripts/` 中的运行时脚本
- `hooks/` 中的 Git 钩子
- 供应链风险（REPO_URL 是否指向其他位置？）
- 危险模式：eval，exec，os.system，凭证盗窃，系统持久性
## 结论格式
```
🔍 安全审计：仓库名称
总体评级：✅ 安全
安装程序的作用：...
积极信号：...
风险点：...
建议：您可以通过 bash 安装 install.sh
```
## 我为什么创建这个
我安装了一个 Claude SEO 技能，并手动进行了整个安全审计 — 18 个步骤，花费数小时。这个技能在几分钟内自动完成。
## 许可证
MIT
