VibeSec-Skill

停止在代码中注入安全漏洞。

一个 AI 技能，将 5 年以上的漏洞赏金狩猎经验直接带入你的 AI 编码工作流程——让 LLM 模型从一开始就编写安全代码。

简介

“氛围编码”很酷，直到你的应用因错误原因出现在社交媒体上。

我们都见过这些帖子/梗：

• API 密钥硬编码在 JavaScript 包中
• 允许用户数据导出的 IDOR 漏洞
• 敏感页面未做身份验证
• 管理员面板使用弱密码

安全漏洞在被人利用之前并不显眼。如果没有正确的指导，AI 会自信地在你功能中附带易受攻击的模式并投放。

VibeSec 是一个 AI 技能，它扮演着安全优先的副驾驶角色。它教导你选定的模型从漏洞猎人的角度审视你的代码，在漏洞发布前捕捉它们。

📚 目录

• VibeSec-Skill
  • 📥 安装
  • 🛡️ 涵盖的漏洞
  • 🚀 快速开始
  • 🤝 贡献
  • 📬 联系

[!Tip] 此技能已涵盖 60-70% 的常见漏洞。但是，如果你需要更强大、覆盖更多漏洞的版本，请访问 vibesec.sh

📥 安装

• Claude Code

  • 克隆此仓库：git clone https://github.com/BehiSecc/VibeSec-Skill

  • 将其添加到 ~/.claude/skills（全局）或项目目录下的 .claude/skills（仅项目）。

• Cursor

  • 克隆此仓库：git clone https://github.com/BehiSecc/VibeSec-Skill

  • 将其添加到 ~/.cursor/skills（全局）或项目目录下的 .cursor/skills（仅项目）。

• Codex

  • 克隆此仓库：git clone https://github.com/BehiSecc/VibeSec-Skill

  • 将其添加到 ~/.agents/skills（全局）或项目目录下的 .agents/skills（仅项目）。

• Github Copilot

  • 克隆此仓库：git clone https://github.com/BehiSecc/VibeSec-Skill

  • 将其添加到 ~/.copilot/skills（全局）或项目目录下的 .github/skills（仅项目）。

• Antigravity

  • 克隆此仓库：git clone https://github.com/BehiSecc/VibeSec-Skill

  • 将其添加到 ~/.gemini/antigravity/skills/（全局）或项目目录下的 .agent/skills/（仅项目）。

🛡️ 涵盖的漏洞

VibeSec 提供针对以下漏洞的全面保护：

深入的覆盖包括：

• ✅ 绕过技术 - 不仅仅是“清理输入”，还包括攻击者使用的具体绕过方法
• ✅ 边界情况 - URL 片段、DNS 重绑定、多语种文件、Unicode 技巧
• ✅ 框架感知 - 针对 React、Vue、Node.js、Python、Java、.NET 的模式
• ✅ 云感知 - 针对 AWS、GCP、Azure 的元数据端点保护
• ✅ 检查清单 - 每个漏洞类别的可操作验证步骤

🚀 快速开始

# 将技能添加到你的项目目录：

"我正在构建一个 [网页应用描述]。请遵循安全编码实践。"

# Claude/Codex 等现在将自动：
# - 实现正确的访问控制
# - 添加安全头
# - 验证并清理所有输入
# - 标记潜在安全问题

🤝 贡献

如果你有建议、改进或新的资源要添加：

1. Fork 此仓库
2. 进行你的修改
3. 提交拉取请求

你也可以打开一个 Issue 🐛，如果你发现需要修复的问题。

📬 联系

如果你想联系我，可以在 X 上找到我。