security-scan · ruvnet — скилл для Claude Code: что делает и как установить
Гоняет проверку репозитория на трёх уровнях глубины: зависимости, секреты, опасные паттерны. Пригодится перед релизом и при разборе PR.
npx skills add ruvnet/ruflo --skill security-scan -a claude-codeЧто делает security-scan
Скилл запускает проверку кода в три фазы: npm audit по зависимостям, поиск захардкоженных секретов и греп по опасным паттернам. Глубина quick, standard или deep задаёт, на сколько уровней каталогов спускаются вторая и третья фазы: 3, 5 или 10. На quick поиск паттернов пропускается совсем.
Команды идут через npx @claude-flow/cli@latest: security scan --depth DEPTH --output json для прогона, security cve --list для списка CVE и security threats --model stride --export md для шаблона угроз. Последняя заготовка живёт отдельно от скана: STRIDE/DREAD/PASTA по вашему коду она не считает.
Сканер работает по шаблонам; поток данных и логику авторизации он не разбирает. Поэтому каждую находку открывайте по указанной строке — совпадения в комментариях, текстах ошибок, фикстурах и собранных бандлах вроде coverage/ и playwright-report/ обычно мусор. Итог можно сохранить в MCP-память через memory_store в namespace security-findings, а hooks_post-task заберёт результаты для тренировки паттернов.
Какие задачи решает
- прогнать зависимости через
npm auditперед деплоем - вычистить захардкоженные ключи из исходников
- проверить PR на регрессии по безопасности
- получить список известных CVE для проекта
- набросать модель угроз по STRIDE в Markdown
Примеры запросов агенту
- Запусти security-scan на глубину standard и покажи находки с файлами и строками.
- Проверь этот PR скиллом security-scan на quick: интересуют в первую очередь секреты в новых файлах.
- Сделай deep-скан перед деплоем и сохрани итог в память.
Как установить security-scan
1Через Skills CLI (Vercel)
npx skills add ruvnet/ruflo --skill security-scan -a claude-code2Вручную: положить файлы
~/.claude/skills/security-scan/SKILL.mdПапка скилла целиком; для одного проекта — .claude/skills/security-scan/
1Через Skills CLI (Vercel)
npx skills add ruvnet/ruflo --skill security-scan -a codex2Вручную: положить файлы
.agents/skills/security-scan/SKILL.mdДля всех проектов — ~/.agents/skills/
1Через Skills CLI (Vercel)
npx skills add ruvnet/ruflo --skill security-scan -a cursor2Вручную: положить файлы
.cursor/skills/security-scan/SKILL.mdCursor читает и .agents/skills/, и .claude/skills/
1GitHub CLI
gh skill install ruvnet/ruflo security-scan2Вручную: положить файлы
.github/skills/security-scan/SKILL.md1Через Skills CLI (Vercel)
npx skills add ruvnet/ruflo --skill security-scan -a gemini-cli2Командой платформы
gemini skills install https://github.com/ruvnet/ruflo --path plugins/ruflo-security-audit/skills/security-scanВручную: положить файлы
.devin/skills/security-scan/SKILL.mdСтарый путь .windsurf/skills/ тоже читается
Через Skills CLI (Vercel)
npx skills add ruvnet/ruflo --skill security-scan -a opencodeClaude.ai
Упакуйте папку в zip и загрузите в Settings → Capabilities → Skills
Из того же набора104
Весь набор →Другие версии security-scan
Похожие
Вопросы о security-scan
Как установить security-scan в Claude Code?
Выполните npx skills add ruvnet/ruflo --skill security-scan -a claude-code. Скилл встанет по пути ~/.claude/skills/security-scan/SKILL.md.
Что делает security-scan?
Гоняет npm audit, ищет секреты и опасные паттерны кода на выбранной глубине. Находки можно сложить в MCP-память и передать в hooks_post-task.
Чем `deep` отличается от `standard`?
standard спускается на 5 уровней каталогов, deep — на 10. Зависимости проверяются на обеих глубинах, а на quick греп по паттернам не запускается вовсе.
Исходный текст
SKILL.md · MIT
---
name: security-scan
description: Run full security scans on the codebase using Ruflo security tools. Use when reviewing PRs for security regressions, auditing auth/input-handling code, before production deploys, or when the user asks for a security check at quick/standard/deep depth.
allowed-tools: Bash(npx *) mcp__plugin_ruflo-core_ruflo__memory_store mcp__plugin_ruflo-core_ruflo__hooks_post-task Read Grep
argument-hint: "[depth: quick|standard|deep]"
---
Run a security scan at the specified depth.
Via CLI:
```bash
npx @claude-flow/cli@latest security scan --depth DEPTH --output json
npx @claude-flow/cli@latest security cve --list
npx @claude-flow/cli@latest security threats --model stride --export md
```
What the scan really does (`v3/@claude-flow/cli/src/commands/security.ts`): phase 1 runs `npm audit` for dependencies, phase 2 greps for hard-coded secrets, phase 3 greps source for risky code patterns. `--type deps|code|all` picks phases; `--depth` only sets how many directory levels phases 2 and 3 descend:
| Depth | Dependencies | Secrets (levels) | Code patterns (levels) |
|-------|--------------|------------------|------------------------|
| quick | yes | 3 | skipped |
| standard | yes | 5 | 5 |
| deep | yes | 10 | 10 |
It is a pattern scanner, not a taint or auth-flow analyser, and `security threats` is a separate STRIDE/DREAD/PASTA template, not a scan of your code. Treat every finding as a lead, not a verdict: open the file at the reported line before reporting it, and drop matches in comments, error strings, generated bundles (`coverage/`, `playwright-report/`) and test fixtures. Say which of the phases above you ran and which you did not.
Store findings via MCP: `mcp__plugin_ruflo-core_ruflo__memory_store({ key: "scan-findings", value: "SUMMARY", namespace: "security-findings" })`
Train patterns: `mcp__plugin_ruflo-core_ruflo__hooks_post-task({ taskId: "security-scan", success: true, storeResults: true })`
© ruvnet · MIT · ruvnet/ruflo
