WorkBuddy技能评测 #142 | security-review：涉及钱和账号的代码，先过这一遍

2026-11-05silcano

基本信息

• 技能名：security-review
• 来源仓库 Star 数：35,181（everything-claude-code 社区合集）
• 单技能下载量：平台未公开
• 分类：Testing & Security
• 数据来源：SkillKit 中央技能库（WorkBuddy 生态的第三方技能市场）

它解决了什么痛点

大多数安全问题不是被攻破，而是压根没人检查过。加个登录接口、收个用户输入、接个支付回调——这些动作一旦上线就很难回头。这个技能在这几个高危场景出现时，自动拉起一份检查清单：认证怎么做、输入怎么校验、密钥存哪、错误怎么返回。

对我有没有用（技术 / 自媒体 / AI / 读书）

技术方向：建议常驻。你自己写脚本管服务器、管数据库、管 token，正好是它覆盖的场景。清单里最实用的一条是「密钥不许进代码库、不许进前端」——对照你现在的做法（token 硬编码在本地脚本里）就有改进空间。AI 方向：中等，可以约束 agent 别把敏感信息打进日志。自媒体：安全复盘类内容稀缺、易涨粉。读书：无关。

典型场景

你要给博客加一个「读者投稿」表单。装此技能后，AI 会主动补上：服务端长度与类型校验、富文本白名单过滤、提交频率限制、错误信息不暴露 SQL 细节。成果：少一个被注入的机会，也少一次清理垃圾投稿的通宵。

一句话结论

不炫技但防身。凡是碰账号、钱、用户输入的代码，值得让它先扫一遍。

📊 完整对比数据见在线总表：WorkBuddy 技能市场全量调研总表（腾讯文档）