1. 基本信息
| 项目 | 内容 | 数据来源 |
|---|---|---|
| 名称 | redis-security | GitHub API / SKILL.md |
| 作者/维护者 | Redis, Inc.（官方 redis/agent-skills 仓库） |
GitHub API |
| 来源链接 | https://github.com/redis/agent-skills/tree/main/skills/redis-security | — |
| 许可证 | MIT | GitHub API |
| GitHub Stars / Forks | 所属仓库 90★ / 21 forks（该数字属整个 Redis Agent Skills 合集，不代表本技能个体热度，仅供了解所属仓库规模） | GitHub API |
| 最新版本 | SKILL.md 标注 version 0.1.0；子目录最近一次提交 2026-05-27 | 仓库提交历史 / SKILL.md |
| 安装方式 | npx skills add redis/agent-skills 或 Claude Code 插件市场一条命令安装（见第 9 章） |
仓库 README |
2. 功能介绍与亮点
redis-security 是 Redis 官方 Agent Skills 合集中专攻生产环境安全加固的技能，把认证、访问控制与网络暴露这三个最容易被忽视、又最常导致真实事故的环节整理成可直接照抄的配置范式。
核心能力：
- 认证与传输加密：给出
requirepass+ TLS 双启用的redis.conf配置片段与对应客户端连接代码，并说明 ACL 用户优于共享密码的理由 - ACL 最小权限设计：提供只读缓存用户、可写但禁危险命令的用户、管理员用户三种典型
ACL SETUSER模板，并附@read/@write/@dangerous/@admin四类命令分组对照表，说明泄漏单个应用凭据时 ACL 如何限制爆炸半径 - 网络暴露收敛：给出
bind/protected-mode组合与iptables规则示例，明确指出“bind 0.0.0.0+protected-mode no“是最常见的真实入侵模式（技能原文直接引用”Redis exposed to the internet“这一常见扫描器告警作为触发场景），并提供重命名/禁用FLUSHALL、DEBUG、CONFIG等危险命令的可选做法 - 配套
references/auth.md、references/acls.md、references/network.md三篇参考文档，分别展开各主题的完整示例
亮点：三个安全环节（认证、访问控制、网络）作为一个整体呈现，技能正文明确提示“任何一项单独做都会留下可被利用的缺口”，避免用户只做了加密却仍对公网开放端口这类常见半吊子加固；技能本身为纯 Markdown 指导，不含可执行脚本，安装单元干净。
3. 适用场景
固定分类：安全与合规
- 首次把 Redis 部署到生产环境、需要一份安全基线检查单的开发者
- 收到扫描器“Redis 对公网暴露”或“无认证”告警、需要按步骤加固的运维/安全工程师
- 为不同应用签发独立 Redis 凭据、需要设计最小权限 ACL 策略的团队
- 做 Redis 部署安全审计、需要一份可对照检查项的评审者
4. 跨 Agent 兼容性
- Claude Code：原生支持——仓库自带
.claude-plugin/marketplace.json，/plugin install redis-development@redis连带装入本技能 - Codex：官方明确支持——Redis 官方博客《We built an Agent Skill so AI writes Redis code》（redis.io/blog，2026-02-02 发布）原文写明“one command, and every AI coding agent you use (Claude Code, Cursor, Codex, Copilot, Augment Code, whatever) gets opinionated, up-to-date Redis knowledge”，明确将 Codex 纳入支持范围；但仓库内未见针对 Codex 的专用清单目录，实际安装依赖通用 Agent Skills CLI（
npx skills add） - OpenClaw：未验证——官方材料未提及，技能遵循标准 SKILL.md 格式（纯声明式文本，无 Claude 专属工具调用），理论上可通用安装，但未见官方或可靠第三方验证
- Hermes Agent：未验证——官方材料未提及
（仅基于已抓取材料判断，未为兼容性单独发起搜索）
5. 推荐理由
Redis 实例被扫描器发现“无认证对公网开放”，是数据库安全事故里最常见也最容易避免的一种，但很多团队并没有系统梳理过认证、ACL、网络暴露这三件事该怎么一起做对。redis-security 把这套加固知识收敛成可直接照抄的配置范式与检查单，省去从 Redis 官方文档逐条摸索安全基线的过程，尤其适合刚开始为生产 Redis 实例补齐安全加固的初中级工程师与运维人员。
6. 评分
| 维度 | 分数 | 说明 |
|---|---|---|
| 受欢迎程度 | 7 | Redis, Inc. 官方仓库出品，仓库共 10 位贡献者持续维护；本子目录自身提交虽只有 2 次（单一作者），但已被独立第三方技术文章（越南语开发者社区 viblo.asia）点名列入 Redis Agent Skills 合集的技能清单；作为合集中的专项安全能力，个体热度弱于覆盖全体 Redis 用户的旗舰技能 redis-core |
| 可用性 | 9 | npx skills add 或 Claude Code 插件市场一条命令安装；SKILL.md 正文精炼、三篇 references 文档覆盖认证/ACL/网络三个主题的完整示例；最近一次提交 2026-05-27，在近 3 个月维护窗口内；纯文档指导，无付费依赖 |
| 安全性 | 9 | 见下方检查清单 |
安全检查清单：
① 执行 shell 命令——纯文档指导型技能，无 scripts/ 目录，SKILL.md 内 iptables/redis-cli 等命令示例仅作讲解素材，不由技能自身执行
② 联网外发数据——技能内容为本地配置建议，不涉及技能自身向外部服务器发送数据
③ API key/凭据——技能讲解的是“如何设置 Redis 密码/ACL”这一安全实践本身，不要求用户向技能提供任何凭据
④ 未发现可疑指令——抓取 SKILL.md 全文与三篇 references 文档，均为透明的 Redis 安全配置说明，未见 prompt injection 或混淆代码迹象
⑤ 作者信誉——Redis, Inc. 官方仓库，仓库共 10 位贡献者，多个账号资料可确认任职于 Redis
⑥ License——MIT，明确
⑦ 维护时间——子目录最近提交 2026-05-27，仓库整体最近推送 2026-07-09，持续维护中
综合评分：8.3（三项均值）
7. 跟同类 Skills 相比的优势
| 项目 | 定位 | 与 redis-security 的差异 |
|---|---|---|
| security-and-hardening（addyosmani/agent-skills） | 面向应用代码本身的 OWASP 十大漏洞防护与依赖供应链安全编码指南 | 聚焦“写代码时”的输入校验、鉴权逻辑等应用层安全，与技术栈无关；redis-security 聚焦“部署 Redis 实例”这一基础设施层面，两者覆盖的是完全不同的攻击面 |
| security-audit-skill（cloudflare/security-audit-skill） | 官方出品的多阶段代码安全审计技能，对代码库做结构化漏洞扫描 | 审计对象是应用代码仓库本身；redis-security 审计/加固对象是 Redis 实例的部署配置（认证、ACL、网络），不扫描代码 |
| security-guidance（anthropics/claude-plugins-official） | 在编码与提交时自动扫描 AI 生成代码引入的漏洞并当场提示修复 | 是编码流程中的实时代码扫描器；redis-security 是一份可随时查阅的 Redis 部署安全配置参考手册，不介入代码生成过程 |
目前索引内暂无同样面向“单一数据存储自身安全加固”的技能——同为 Redis 官方合集的 redis-core、redis-observability 等技能覆盖数据建模与监控排障，均不涉及认证/ACL/网络加固；PlanetScale、Neon 等其他官方数据库技能也聚焦 schema 设计与查询调优，未覆盖安全加固主题。redis-security 填补的是“数据库部署安全”这一在通用应用安全技能与数据库运维技能之间的空白地带。
8. 用户评价
越南语开发者社区平台 viblo.asia 上一篇署名 Chính Nguyễn Quốc 的技术文章介绍了 redis/agent-skills 合集，文中列出该合集包含“针对 Redis Search、向量相似度搜索、语义缓存、安全性、认证、TLS、ACL 和代理记忆体”的专项技能，其中提及了 redis-security 所涵盖的能力范围，但未对该技能单独展开评价。Medium 上另一篇由 Albert Wong 撰写的独立介绍文章介绍了该合集的整体定位，未提及 redis-security 具体内容。除此之外，该技能目前在 Reddit、Hacker News 等平台尚无具名用户评价。
9. 安装使用方式
- Agent Skills CLI：
npx skills add redis/agent-skills（安装整个合集，含 redis-security） - Claude Code 插件市场：
/plugin marketplace add redis/agent-skills，再执行/plugin install redis-development@redis - Cursor：在对话中使用
/add-plugin redis - 手动安装：将
skills/redis-security目录复制到对应 agent 的技能目录
安装后注意事项：redis-security 属于 redis-development 插件包的一部分，按插件方式安装会连带装入其余 7 个 Redis 子技能（redis-core、redis-connections、redis-search、redis-clustering、redis-observability、redis-semantic-cache、iris-development）；若只需要安全加固能力，可只手动复制 redis-security 子目录（其内容不依赖其他子技能）。安装后无需重启，agent 会在涉及 Redis 部署、认证配置或安全审计的对话中自动触发。
10. 注意事项
- 技能给出的是通用加固范式（认证、ACL、网络），不针对某一云厂商托管 Redis 服务（如 AWS ElastiCache、Redis Cloud）的平台特有安全设置做展开，云托管场景仍需结合厂商自身文档
- Codex 支持基于官方博客的文字声明，未见专用清单目录佐证，建议使用前自行验证实际安装效果
- OpenClaw、Hermes Agent 的兼容性目前均无官方或可靠第三方材料佐证，两个生态的用户使用前建议先自行验证基本安装流程
- 该技能子目录自身提交历史较短（仅 2 次提交、单一作者），长期独立维护节奏有待观察