下载地址
https://www.zhengdianxue.com/wp-content/uploads/skills/metago--metago-security-audit-pay.zip将提示词发送给你的 AI 安装该 skills
请根据 https://skillhub.cn/install/skillhub.md，安装 @metago/metago-security-audit-pay。安全审计技能（OWASP Top 10 服务端深度专业版）：交付完整结构化报告——全部漏洞详情、依赖漏洞清单、敏感信息检测、安全配置检查与审计结论，格式固定、可存档交付，适合交付客户、合规审计与项目验收。按次付费调用。
阅读全文 （展开查看完整说明）
概述
安全审计技能（OWASP Top 10 服务端深度安全审计专业版），交付完整结构化报告：全部漏洞详情（非摘要）、依赖漏洞清单、敏感信息检测、安全配置检查、审计结论与修复排期建议。报告格式固定、可存档交付，适合交付客户、合规审计与项目验收。
触发条件
- 需要完整安全审计报告（交付客户/合规审计/项目验收/留档）时激活
- 用户请求安全审计、漏洞扫描、渗透测试且明确需要完整交付
- 代码合并前的深度安全审查
- 依赖更新时的完整安全评估
深度交付内容（与快速自查版的区别）
- 完整漏洞详情：全部漏洞（非 Top N），每条含 OWASP 类别、位置、影响、CVE/CVSS、修复方案
- 依赖漏洞清单：依赖、当前版本、漏洞版本、CVE、CVSS、建议版本
- 敏感信息检测表：硬编码密钥、日志泄露、明文凭证、Git 历史残留
- 安全配置检查表：HTTPS/CSP/HSTS/速率限制等基线
- 审计结论：总体评级、合规状态、优先修复项与排期建议
由 metago.life 深度审计引擎执行，输出格式固定、内容一致、可存档交付。
漏洞等级标准
| 等级 | CVSS | 处理时效 |
|---|---|---|
| Critical | 9.0-10.0 | 24 小时内 |
| High | 7.0-8.9 | 7 天内 |
| Medium | 4.0-6.9 | 30 天内 |
| Low | 0.1-3.9 | 下个版本 |
常见误区与不适用场景
- 误区：把快速自查当交付级审计——正式交付、合规审计请用本专业版完整报告；
- 误区：只看漏洞不看配置——弱密码、默认凭证、缺失 CSP/HSTS 同样致命；
- 误区：拿到"无高危"就认为绝对安全——报告需注明范围与假设；
- 不适用：真实渗透测试、运行时防护、动态扫描（需专业工具与授权环境）。
异常与边界处理
- 未提供代码或项目说明：引导用户提供代码片段、项目说明或依赖清单；
- 内容为空或格式异常：提示补充可读材料，不臆测输出；
- 范围过大：输出高风险项概览并说明完整审计建议分模块进行；
- 未发现高危：输出安全配置检查结果与分析假设，不做"绝对安全"结论；
- 不泄露密钥原文，不虚构漏洞，不确定项标注置信度。
运行保障（稳定性）
- 重试机制：报告不完整或格式异常时，按原输入自动重试 1 次，再失败则请用户补充材料；
- 超时处理：审计超出合理轮次时停止，输出已完成部分并标注未覆盖范围；
- 错误恢复：输出中断时给出基于已生成内容的断点与续写说明；
- 一致性保障：固定审计流程与报告模板，相同输入输出结构一致；
- 错误消息模板：输入缺失→"请提供要审计的代码或项目说明"；范围过大→"建议分模块审计，本次范围：…"；
- 调用服务端点时会产生一次网络请求，付费授权由
weixinpay_pay完成。
完整示例
输入： "完整审计我的登录接口和订单模块"
输出（节选）：
【安全审计报告】
1. 审计概览：范围=登录接口/订单模块，评级=C，漏洞 8 项（Critical 1 / High 2 / Medium 4 / Low 1）
2. 漏洞详情：
V-001 [Critical] SQL 注入（A03）位置 auth.js:42，CVSS 9.8，修复：参数化查询
V-002 [High] 硬编码密钥（A02）位置 config.js:10，修复：移入环境变量
3. 依赖漏洞：lodash@4.17.20 → CVE-2022-xxxx（CVSS 7.5），建议升级 4.17.21
4. 敏感信息检测：日志打印密码字段（order.js:55）→ 脱敏
5. 安全配置检查：缺失 CSP/HSTS、登录无限流 → 补充响应头与速率限制
6. 审计结论：总体 C 级，优先修复 V-001/V-002（24 小时内），详见修复排期付费调用流程（X402 协议）
本技能为按次付费服务，通过 X402 协议完成支付授权后交付完整报告。
付费前置检查
调用前检查当前 Agent 是否已安装 weixinpay 插件：
- 已安装：可继续；
- 未安装：向用户说明暂不支持付费调用，终止流程。
第一步：请求资源
向服务端点发起 HTTPS POST 请求：
POST https://metago.life/api/resource
Content-Type: application/json
{"query": "要审计的代码/项目说明/依赖清单"}第二步：处理 402 响应
若收到 HTTP 402，响应头包含：
WeixinPay-Required：支付凭证码X-Out-Trade-No：商户订单号
将 WeixinPay-Required 的值作为 paymentCode，调用 weixinpay_pay 向用户申请支付授权。
第三步：支付后重试（必须执行）
用户完成授权后，重新发起请求，body 保持与第一步一致，并在 Header 中携带：
POST https://metago.life/api/resource
Content-Type: application/json
WeixinPay-Required: <paymentCode>
X-Out-Trade-No: <out_trade_no>
{"query": "要审计的代码/项目说明/依赖清单"}第四步：处理响应
SUCCESS：交付完整安全审计报告正文NOT_PAID：支付尚未完成，等待后重试REFUNDED：服务未履约，款项已退回用户，向用户说明并终止流程，不要重复请求FULFILL_AND_REFUND_FAILED：服务异常且退款失败，建议用户联系客服
交付物
《安全审计报告》：审计概览（范围/评级/漏洞统计）、完整漏洞详情、依赖漏洞表、敏感信息检测表、安全配置检查表、审计结论与修复排期建议。可直接交付客户或用于合规审计留档。
边界
- 本技能为 AI 辅助静态分析，不替代专业渗透测试，关键漏洞需人工复核
- 调用服务端点时会产生一次网络请求，付费授权由
weixinpay_pay完成 - 不泄露密钥原文，不虚构漏洞，法律优先于效率
注意事项
- 必须先通过付费前置检查；
- 收到 402 后，支付授权由
weixinpay_pay完成； - 支付成功后必须重试，body 不变，通过 Header
X-Out-Trade-No传递订单号； - 出现
REFUNDED时终止流程。
常见问题
Q: 与免费快速自查版的核心差别？
A: 免费版=概览+Top 5 高危+修复方向；专业版=全部漏洞详情、依赖 CVE 清单、敏感信息与配置检查、可存档完整报告。
Q: 报告能直接交付客户或用于合规吗？
A: 可作交付与留档材料；关键漏洞建议人工复核，重大合规场景建议专业机构复核。
Q: 出现误报怎么办？
A: 不确定项已标置信度，可提供更多代码上下文复核。
Q: 扫描范围有限怎么办？
A: 快速自查覆盖 OWASP 十类高频风险；完整审计可覆盖全部漏洞详情与依赖清单。
Q: 审计结果可信吗？
A: AI 辅助分析，格式固定、内容一致；Critical/High 项建议人工验证后再修复。
Q: 审计失败会退款吗？
A: 服务异常无法交付时会自动退回款项，向用户说明后终止流程。——metagoForm1787947109511 Content-Disposition: form-data; name="files"; filename="skill.zip" Content-Type: application/zip
