security-and-hardening skill 是什麼、怎麼安裝使用：Addy Osmani 的 Web 應用安全加固 Skill（先做威脅建模）

本文根據 addyosmani/agent-skills 倉庫裏該技能的 SKILL.md 與倉庫 README 整理，資料核對於 2026-10-11。skills.sh 榜單當日顯示該技能累計安裝約 5.6 萬次；所在倉庫 addyosmani/agent-skills 在 GitHub 約 10.4 萬 Star（同日數據）。技能內容會隨倉庫更新，以倉庫為準。

這個 Skill 做什麼

智能體生成的代碼最常見的安全問題不是高深的漏洞，而是基礎項：拼接 SQL、沒校驗權限、把密鑰寫進代碼、文件上載不限制類型。security-and-hardening 把這些基礎項變成寫代碼時的硬約束。技能的概述是：把每個外部輸入都當作有敵意的，把每個密鑰都當作神聖的，把每次授權檢查都當作必需的；安全不是一個階段，而是對每一行接觸用戶數據、認證或外部系統的代碼的約束。

description 的適用場景：審計輸入處理邏輯、處理用戶輸入、認證、數據存儲或外部集成，對照 OWASP Top Ten 檢查登入流程；構建任何接受不可信數據、管理用戶會話或與第三方服務交互的功能；審計依賴的已知漏洞、評估新依賴的供應鏈風險；涉及個人數據和私隱合規（GDPR、CCPA）時。

結構上先要求威脅建模，然後是一個三級邊界：始終要做（沒有例外）、先問人（需要人批准）、絕不能做。加固措施分門別類：注入、跨站腳本與訪問控制；認證與會話；響應頭與跨域；輸入校驗與上載；服務端請求偽造；對派生路徑的破壞性操作；限流；密鑰；依賴與供應鏈；個人數據與私隱；以及 AI / 大模型功能特有的風險。最後是評審清單。

怎麼安裝

倉庫 README 給出了單獨安裝某個技能的寫法：

bash
npx skills add addyosmani/agent-skills --skill security-and-hardening

想整套安裝，Claude Code 用 /plugin marketplace add addyosmani/agent-skills 加 /plugin install agent-skills@addy-agent-skills，Codex 用 codex plugin marketplace add addyosmani/agent-skills 加 codex plugin add agent-skills@agent-skills。README 提示，插件安裝遇到 SSH 權限報錯時改用倉庫的 HTTPS 地址。

倉庫整體介紹和其他安裝方式，詳見本站《addyosmani/agent-skills 是什麼、怎麼安裝：Addy Osmani 的 25 個生產級工程 Skills（/spec、/plan、/build）》。

怎麼用

• 「給這個文件上載接口做安全加固」。
• 「對照 OWASP Top Ten 檢查登入和找回口令的流程」。
• 「包管理器的安全審計報了 12 個問題，幫我判斷哪些要緊」。

目錄裏另有一份 hardening-patterns.md 參考。

適合誰 / 侷限

適合所有用智能體寫 Web 後端和全棧應用的開發者，尤其是沒有專職安全人員的團隊。它是防禦性的開發規範，面向常見的 Web 風險；不能替代滲透測試、合規審計和專業的安全評審，高風險系統仍需專業團隊把關。

注意事項

• 許可：MIT。
• 不執行腳本；審計依賴時會運行包管理器自帶的檢查命令。
• 「先問人」一級的事項（例如改動認證邏輯）它會停下來等你確認，這是設計如此。