认识 Cloudflare Security Audit Skill：让安全审阅围绕证据展开
安装 Security Audit Skill：技能文件、Node.js 与隔离环境
把技能作为经过审阅的代理能力接入，并将审计产物与目标源码分开。
安装 Security Audit Skill：技能文件、Node.js 与隔离环境知识学习CN编辑简报更新 2026-09-23
你将学会
- 审查安装来源
- 分别准备运行条件
- 将报告放在独立位置
开始前需要
- 源码审阅与 JSON 基础
- 明确目标授权及隔离计划
用学习项目展示源码版本、覆盖缺口和不同结论状态。
先看结论
- 安装不能验证隔离。
- 仓库 URL 可能对应变化的源码。
- 审计产物需要明确存放位置。
审查安装来源
README 给出了通过 Skills CLI 选择 security-audit 的安装方式。安装前检查仓库和目标位置，安装后记录实际落地的版本，便于以后比较变更。
文档中的仓库 URL 指向可变化的内容，除非安装流程另外固定版本。下面命令是上游用法，不保证安装的就是本文分析的源码提交。
分别准备运行条件
工作流需要兼容的编程代理与 Node.js。零依赖指的是本地校验脚本，模型访问、代理宿主和隔离设施仍然是需要单独准备的运行条件。
技能安装成功不能证明操作系统沙箱已经有效。任何目标控制的命令获得执行资格之前，都要检查网络、环境变量、资源限制和可写路径。
将报告放在独立位置
文档默认把每轮产物放在目标仓库之外。若要写入目标内部，需要明确选择被版本控制忽略的目录，以免审计记录混入正在审阅的源文件。
升级时保留旧运行记录及技能版本，便于追踪结论变化。本系列没有执行安装命令，也没有扫描生产目标或任何外部在线服务。
如何选择
| 比较维度 | 方案 A | 方案 B |
|---|---|---|
| Best when | You need predictable behavior and easy auditing | You need adaptive optimization and have reliable telemetry |
| Main risk | May leave performance on the table | Can become difficult to explain or debug |
实施步骤
- 1
审阅文件并记录安装版本。
- 2
分别检查代理、Node.js 和沙箱。
- 3
选择目标仓库之外的输出位置。
可复制示例
bash
npx skills add https://github.com/cloudflare/security-audit-skill --skill security-audit常见问题
这是托管扫描服务吗？
仓库提供代理技能与本地校验器。
安装命令固定了本文提交吗？
没有，需要在自己的安装流程中核验并固定版本。
资料来源
- Security Audit Skill / README.md来源核查 2026-09-23