Cloudflare安全审计技能：六阶段流程、用法与入口

把编码代理收成一支审计队

近期漏洞披露密集，正是回头审视自己代码的好时机。

安全审计技能是面向编码代理的开源技能，用来做多阶段安全审计。Cloudflare Developers说明，它播种了Cloudflare自己的漏洞发现流程：代理不再只扫一遍代码就结束，而是按角色分工，把候选问题压到可核对的结论。

仓库定位写得很具体：多阶段安全审计，发现要经过独立验证，并且是机器可读的。对想在披露高峰期先看清自家代码的团队，它提供的是一套可重复的审计顺序，而不是一份笼统的检查清单。

六个阶段各自收口

公告给出的顺序是：先映射代码库，再猎寻漏洞，然后逐条质疑候选，接着记录发现、验证发现，最后只报告三类结果：已确认、已否定，或仍需验证。质疑和验证拆开，是为了避免猎到的线索未经第二次审视就写成结论。

映射阶段建立代码版图，猎寻阶段提出候选，质疑阶段专门挑战这些候选，记录阶段把过程留成机器可读材料，验证阶段做独立核对，报告阶段明确每条发现落在哪一类。仍需验证的条目不会被写成已确认问题。

• 映射代码库

  先摸清代码范围和结构，再进入漏洞猎寻。

• 猎寻并质疑

  找出候选问题后，逐条挑战，而不是直接采信。

• 记录、验证、报告

  留下发现，独立验证，并标明确认、否定或仍待验证。

从仓库开始，以及它不替你做的判断

官方入口是github.com上的cloudflare/security-audit-skill。仓库公开提供源代码和用法说明，按其中步骤把技能交给编码代理即可开始。页面还列有MIT许可、行为准则、贡献说明和安全政策。

它适合在披露密集时对自有代码做一轮有记录的审计。报告本身就区分已确认、已否定和仍需验证，因此输出是审计底稿，后续是否修复、是否升级处置，仍要由人根据这些结论决定。