# CSO 安全审计 (cso)

> 通过 gstack-cso 辅助程序做以证据为准的安全审计，报告有据可查的发现；综合模式可加入复现和修复候选。

- 分类: [安全审计](https://www.myskills.tools/zh/categories/security-audit/)
- 来源: 社区 · Garry Tan
- 代码仓库: https://github.com/garrytan/gstack/tree/main/cso (commit 7dc2f23 · v3.0.0)
- SKILL.md: https://github.com/garrytan/gstack/blob/main/cso/SKILL.md
- 安装命令: `npx skills add garrytan/gstack --skill cso`
- 许可证: MIT
- 兼容工具: Claude Code, Codex, Cursor, Copilot
- 权限: read-repo ✓, write-files ✗, shell ✓, network ✓
- 状态: 扫描通过
- 规则扫描无法覆盖所有风险，安装前请阅读此技能的 SKILL.md，确认权限后再使用。
- ⚠ 需要已安装 gstack-cso；综合模式会在本地 Docker 中运行应用，脱敏报告保留 30 天。

## 核心规则

证据先于保证：只报告具备攻击者可控入口、跨越安全边界并有实际影响的发现。

## 执行阶段

1. **解析模式并启动** — 解析范围和参数，通过可信的启动器只启动一次运行，之后只用辅助程序的 inspect/read/history 读取源码。
2. **建模与攻击面** — 梳理参与者、资产、入口、租户边界和安全不变量，并记录端点、上传、Webhook、CI/CD 等攻击面。
3. **按范围审计** — 根据所选范围执行基础设施、代码、技能、供应链或 OWASP 等审计阶段。
4. **证据评估与质询** — 分别判断严重性、置信度和证据，由独立审查者或单独的怀疑式复核质询每个候选，并排查同类位置。
5. **报告与复查** — 报告以完整、部分或未评估开头并列出发现表，通过辅助程序保存；可用 resume、replay、recheck 继续或复查。

## 权限说明（据 SKILL.md 整理）

| 能力 | 是否需要 | 说明 |
|---|---|---|
| 文件写入 | 不需要 | 不改动分支或项目源码；报告和修复候选由辅助程序保存在私有状态目录中。 |
| 命令执行 | 部分需要 | 只能运行 gstack-cso 启动器，不在主机上直接运行目标工具或 Docker。 |
| 网络外发 | 部分需要 | 只查询公开的包和安全公告 ID；使用 --offline 可关闭全部网络访问。 |

## SKILL.md 头部信息（YAML）

```yaml
---
name: cso
version: 3.0.0
description: "Security audit: supported static findings; qualified profiles add reproduction and repair candidates. (gstack)"
allowed-tools:
  - "Bash(~/.claude/skills/gstack/bin/gstack-cso-launcher *)"
  - "Bash(~/.claude/skills/gstack/bin/gstack-cso-launcher.exe *)"
triggers:
  - security audit
  - check for vulnerabilities
  - owasp review
---
```

首页: https://www.myskills.tools/zh/ · URL: https://www.myskills.tools/zh/skills/cso/