安全审计技能

适用场景

在部署前或按计划执行安全审计，以识别 Clawdbot 配置中的潜在漏洞。可使用自动修复功能（auto-fix）自动修正常见问题。

配置要求

无需外部依赖。在系统支持时优先调用原生系统工具。

操作方法

快速审计（常见问题）

node skills/security-audit/scripts/audit.cjs

完整审计（全面扫描）

node skills/security-audit/scripts/audit.cjs --full

自动修复常见问题

node skills/security-audit/scripts/audit.cjs --fix

针对特定领域执行审计

node skills/security-audit/scripts/audit.cjs --credentials      # 检查是否存在泄露的 API 密钥
node skills/security-audit/scripts/audit.cjs --ports            # 扫描开放端口
node skills/security-audit/scripts/audit.cjs --configs          # 验证配置文件
node skills/security-audit/scripts/audit.cjs --permissions      # 检查文件权限
node skills/security-audit/scripts/audit.cjs --docker           # Docker 安全检查

生成报告

node skills/security-audit/scripts/audit.cjs --full --json > audit-report.json

输出结果

审计将生成一份包含以下等级标识的报告：

执行的检查项

凭据（Credentials）

• 环境变量文件（如 .env）中是否包含 API 密钥
• 命令历史中是否残留访问令牌
• 代码中是否硬编码敏感密钥
• 是否存在弱密码模式

端口（Ports）

• 是否存在非预期的开放端口
• 是否有服务直接暴露于公网
• 是否缺失防火墙规则

配置（Configs）

• 是否未启用速率限制（rate limiting）
• 是否禁用了身份认证（authentication）
• 是否仍在使用默认凭据
• CORS 策略是否过于宽松

文件（Files）

• 是否存在全局可读（world-readable）的文件
• 是否存在任意用户均可执行的文件
• 敏感文件是否误置于公开目录中

Docker

• 是否存在特权容器（privileged containers）
• 容器是否缺少资源限制（resource limits）
• 容器内是否以 root 用户运行

自动修复（Auto-Fix）

启用 --fix 参数后，脚本将自动执行以下操作：

• 设置严格的文件权限（例如将 .env 文件权限设为 600）
• 加固敏感配置文件的安全性
• 若缺失则自动生成 .gitignore 文件
• 启用基础安全响应头（security headers）

相关技能

• security-monitor — 实时监控（需单独安装）