floatboat
打开导航菜单

Cloudflare Security Audit

围绕覆盖范围、源码证据和独立验证组织仓库安全审查。Cloudflare 的 Skill 区分已确认问题、待验证线索与已排除候选，并明确报告产物和运行条件。

为仓库审计明确证据与范围

调查仓库安全前，明确授权版本和审计边界。请求需要保留覆盖缺口、源码链路及独立核验状态，使候选漏洞与已有充分证据的发现能够区分，不把合理怀疑直接报告为事实。

说明仓库、版本、排除路径及可用的隔离条件。

复制请求，在 Floatboat 新对话中粘贴，并提供所需资料。

下载 Floatboat

带入 Floatboat 的请求

请求可预览和复制，不会从此处自动发送。

参考来源: Security Audit
https://github.com/cloudflare/security-audit-skill/blob/main/skills/security-audit/SKILL.md

先阅读原始说明并核对当前环境与依赖。需要安装或连接新工具时，先提出方案。

我的任务:
在我授权的范围内审查这个仓库，先梳理架构与覆盖范围。未解决线索保留 needs_validation，在报告中列出证据和缺口；没有要求的隔离条件时，不执行目标控制的代码。

期望交付:
覆盖与证据报告，未解决线索标记 needs_validation，并列明剩余缺口。

关于 Cloudflare Security Audit

Cloudflare 的 security-audit Skill 组织侦察、覆盖驱动调查、候选验证、结构化问题记录、独立记录复核和报告六个阶段。它维护覆盖台账，并区分 confirmed、needs_validation 和 rejected 状态。受阻或尚未证实的候选必须保留不确定性，报告也不能证明仓库不存在其他漏洞。公开 Skill 是面向单仓库的起点，与 Cloudflare 工程文章中的更大规模 harness 分开理解。

Security Audit Skill的使用场景

仓库覆盖、疑似漏洞和历史发现需要分别核验。了解 Security Audit 如何梳理边界并反证问题，同时保留未检查区域和 needs_validation 状态。

梳理仓库的信任边界

仓库审计需要明确授权版本、排除范围和适用的隔离条件。分配调查前，记录架构、入口、信任边界与覆盖单元，在台账中保留尚未检查的区域。任务已经分配不等于覆盖已经完成，整体结论应与实际证据一致。

独立质疑疑似漏洞

疑似漏洞需要经过独立反证检验。向新的核验者提供候选问题、源码链路和已观察到的影响，让其尝试推翻机制，再与原始判断比较。证据不足时保留 needs_validation 状态，不把看似合理的担忧直接升级为已验证发现。

复核变化与未解决证据

后续审计可以利用历史台账寻找未解决问题和源码变化，但旧结论不能直接代表当前覆盖。将变更代码与早期证据对照，识别需要重新调查的缺口。报告说明变化影响和剩余不确定性，不继承本轮并未重复验证的历史状态。

结束审阅前核对覆盖范围

已完成若干调查，并不代表所有分配单元都已覆盖。最终报告前，将覆盖台账、核验结果和未决问题与授权仓库范围比较。继续保留未探索区域及证据不足的线索，避免把并行活动很多或发现清单很长，误认为安全评估已经完整。

如何使用 Cloudflare Security Audit

审计发现必须与覆盖范围一起验收。准备宿主、授权仓库和执行边界后，开展调查并独立核验候选问题，同时保留未探索区域，不能用一份发现清单证明整个仓库都已检查。

  1. 核对条件与范围

    确认兼容的工具型 Agent、并行子 Agent、Node.js、输出位置及上游隔离要求，明确审计可以检查和执行的范围。

  2. 调查并独立验证

    跟踪覆盖范围、分派有边界的调查，并由独立验证者复核候选；在文档要求的节点运行覆盖与问题校验器。

  3. 审阅报告与未解决事实

    将报告与结构化问题、覆盖证据一起检查，已确认问题应有源码链路，未解决线索应保留准确的缺失事实。

探索更多 Agent Skills

查看其他 Skill 指南，并在使用前核对原始来源。

Security Audit 常见问题

这是 Cloudflare 完整的漏洞发现 Harness 吗？
不是。公开 Skill 是 Cloudflare 介绍的单仓库起点，不等于完整跨仓系统。
六个审计阶段是什么？
侦察、覆盖驱动调查、候选验证、结构化输出、独立记录复核与报告。
needs_validation 表示什么？
有来源依据的线索仍存在明确未解决事实，应与已确认漏洞分开，不能赋予缺乏依据的严重程度。
为什么换一个验证者？
独立验证者尝试推翻候选并核对证据，减少原调查者重复自身假设的机会。
执行目标控制的代码前需要什么？
文档要求操作系统级隔离、禁用外部网络、清理并限定环境变量、设置资源限制及临时写入边界；缺少这些条件时保留待验证线索，不执行目标代码。
一次审计能证明仓库安全吗？
不能。覆盖与问题描述的是有边界的一次运行，代码变化、未测路径、不可用依赖和未解决证据都应保留。