SkillsScout
SECURITY-COMPLIANCE ／ 安全与合规

security-review-getsentry-skills

收录日期 2026-07-16·来源仓库 ↗·2026-07-22 修订
受欢迎程度
8
可用程度与相关性
9
安全性
8
8.3SCOUT SCORE

一、基本信息

项目 内容 数据来源
正式名称 security-review-getsentry-skills 合集仓库子目录名（见下方说明）
所属合集仓库 getsentry/skills（Sentry 官方内部工程技能库，公开发布） GitHub
作者/维护者 Sentry（getsentry 团队） 仓库 README / plugin.json
来源链接 https://github.com/getsentry/skills/tree/main/skills/security-review —
许可证 Apache-2.0（仓库级）；技能内引用的漏洞参考资料另遵循 OWASP Cheat Sheet Series 的 CC BY-SA 4.0 署名条款（skill 目录内附独立 LICENSE 说明） GitHub API / 仓库 LICENSE 文件
所属仓库整体 Stars/Forks 864 / 45（注：该数字属整个合集仓库，不代表本技能自身热度） GitHub API
最新版本 无正式版本号；以最近一次提交为准（2026-07-15） GitHub API
安装方式 Claude Code 插件市场 / skills.sh（npx skills）单技能安装 官方 README

二、功能介绍与亮点

security-review 是一个安全代码审查技能：给定一段代码、diff 或整个代码库，识别可被利用的高置信度安全漏洞，覆盖注入、XSS、鉴权鉴权、加密、反序列化、SSRF、供应链等 17 类问题，并按 Python/JavaScript 等语言与 Docker 等基础设施类型分流加载对应参考文档。

核心亮点是置信度分级方法论：明确要求“先在全仓库范围调研数据流向、确认是否已有校验/框架防护，再决定是否上报”，只上报 HIGH 档，MEDIUM 标记为“待核实”，LOW 直接不报——并给出大量“看似漏洞实则安全”的反例（如值来自 Django settings/环境变量而非用户输入）。这套机制是为解决同类工具最常见的痛点：把配置常量、框架自动转义误判为漏洞，产生大量噪音。

三、适用场景

固定分类：安全与合规

适用于：提交前对 API 端点、鉴权逻辑、前端模板做安全自查；对已有代码库做一次系统性安全审计；在 CI 流程中作为人工安全评审前的初筛。受益人群：没有专职安全团队、需要自行把关代码安全性的初中级开发者与小团队；也适合作为学习“如何系统化排查安全漏洞、区分真实风险与理论风险”的教学素材。

四、跨 Agent 兼容性

Agent 结论 依据
Claude Code 原生支持 官方 README 明确给出 claude plugin marketplace add 安装步骤，是仓库的主要目标平台
Codex 未验证 skills.sh 页面仅泛称“适用于 Claude Code、Cursor、Cline、GitHub Copilot 等兼容 agent”，未点名 Codex
OpenClaw 未验证 已抓取材料未提及
Hermes Agent 未验证 已抓取材料未提及

五、推荐理由

市面上同类“安全审查技能”大多是把 OWASP checklist 搬进 prompt 的静态清单，缺乏上下文判断，容易把服务端配置误报成漏洞。第三方技术博主 TimOnWeb 曾专门横向评测 5 款 Claude Code 安全审查技能，结论是本技能“由方法论驱动而非清单驱动”，是唯一值得安装的一款；本技能出自 Sentry 官方工程团队、公开维护、更新活跃，安装门槛低且无需任何凭据。

六、评分

维度 分数 说明
受欢迎程度 8 Sentry 为知名开发者工具公司，本技能属其官方公开工程技能库；仓库整体 864 星、创建仅约 6 个月即获此关注度，且有独立第三方横评（TimOnWeb，见第八章）将其评为同类 5 款竞品中的唯一胜出者；864 星属整个合集仓库、不代表本技能自身热度，缺少子目录级的独立热度数据
可用性 9 Claude Code 插件市场一条命令安装，或 skills.sh 单技能安装；SKILL.md 文档详尽、含完整判断流程与输出模板；最近提交为 2026-07-15，维护活跃；无付费依赖、无需 API Key
安全性 8 见下方安全检查清单
综合评分 8.3 三项均值

安全检查清单：

检查项 结果
① Shell 命令与权限范围 allowed-tools 含 Read/Grep/Glob/Bash/Task；用途是审查类只读分析（搜索模式、追踪数据流），未发现要求执行修改性命令
② 运行时联网外发 未发现联网回传数据的逻辑，SKILL.md 全文为本地分析指引
③ API Key/凭据 不需要任何 API Key 或凭据
④ 可疑指令排查 已完整抓取 SKILL.md 全文，未发现 prompt injection 或隐藏指令；对 OWASP 引用材料的授权与署名说明清晰
⑤ 作者/组织信誉 Sentry，知名开发者工具公司，仓库为其官方账号发布
⑥ License Apache-2.0，条款清晰；引用素材另附 CC BY-SA 4.0 署名说明，双重许可标注完整
⑦ 最近维护 最近一次提交为 2026-07-15，活跃维护中

因含 Bash 工具但用途明确、可审计、无外联无凭据，未达“纯提示词无代码执行”的 9-10 档，定为 8 分。

七、跟同类 Skills 相比的优势

对比对象 定位 与本 skill 的差异
affaan-m/everything-claude-code@security-review 通用安全审查清单类技能 按 TimOnWeb 横评，属“静态清单”路线，会把 settings.API_URL 等服务端配置误报为 SSRF，缺少数据流向核实与置信度分级
trailofbits/skills/plugins/building-secure-contracts（Trail of Bits 官方技能市场子技能） 区块链智能合约安全审计（覆盖 Solana/Cairo/Cosmos 等多条链） 专注 Web3 智能合约这一垂直场景，审计对象与技术栈与通用 Web 应用（Django/React/Node 等）完全不同，受众更窄
Masriyan/Claude-Code-CyberSecurity-Skill 15 项安全技能合集（覆盖攻防、逆向、威胁狩猎等） 个人开发者维护，广度优先但单项深度与官方审核程度不及本技能；仓库星数（167）与活跃度均低于 getsentry/skills

核心差异化：本技能不是把漏洞类型罗列成清单，而是把“先核实数据流向、再判断是否可利用”写成强制流程，这是它在同类竞品横评中胜出的关键原因。

八、用户评价

已核实的具名评价如下：

  1. Tim Kamanin（技术博主，TimOnWeb 站点作者）：在横评 5 款 Claude Code 安全审查技能的文章中，明确将本技能列为“唯一值得安装”的一款，原话大意为“清单与方法论的差别，就是噪音与信号的差别”。（来源：timonweb.com《I Checked 5 Security Skills for Claude Code. Only One Is Worth Installing》）

公开渠道目前未见更多针对该技能的具名独立评价。

九、其他补充

同仓库（getsentry/skills）还包含 code-review、commit、pr-writer 等另外 27 个工程实践技能，均为 Sentry 内部工程规范的公开版本。

十、安装使用方式

Claude Code 插件市场（会安装该仓库全部技能）：

claude plugin marketplace add getsentry/skills
claude plugin install sentry-skills@sentry-skills

skills.sh 生态（可仅安装本技能一项，适配 Claude Code / Cursor / Cline / GitHub Copilot 等）：

npx skills install getsentry/skills@security-review

安装后注意事项： 安装后需重启 Claude Code 生效；触发无需手动调用，直接提出“帮我做安全审查”“check for security issues”等描述即可自动触发。

十一、注意事项