图文教程：用安全审计技能包，给自己的项目做一次漏洞体检

第一步：下载并解压技能包

到本站「Skills技能包」栏目找到《安全审计技能包》一文，点绿色按钮下载（0.11MB）。

解压得到 security-audit-skill 文件夹，先打开里面的 README-CN.txt 看一遍中文说明，了解六个阶段分别做什么。

第二步：把技能装进你的AI工具

在你使用的AI编程工具中找到技能目录。例如 Claude Code 是 ~/.claude/skills/，把包内的 skills/security-audit 整个文件夹复制进去。

Windows 上如果找不到以点开头的目录，先在资源管理器"查看"里勾选"隐藏的项目"。

复制完成后重启会话，让工具重新扫描技能目录。

第三步：对项目发起审计

在项目根目录打开AI工具，对它说：用 security-audit 技能审计当前项目，输出安全报告。

它会先侦察项目结构、画出信任边界，然后分派多个独立猎手扫描不同模块，再把每个可疑点交给验证员尝试推翻。

这个过程比较耗时间，大仓库建议先指定子目录（例如"只审计 backend/ 目录"），跑通再全量。

第四步：读懂报告并修复

报告里优先看带"完整来源链路"的条目——能一路指到具体文件和代码行，可信度最高，按严重程度逐条修。

关注覆盖率台账：如果某些模块显示未覆盖，说明本轮没扫到，需要单独再跑一次。

修完之后重跑一遍审计做对比，确认问题真的消失了。最后提醒一句：这是静态审计，不能替代真正的渗透测试。