secure-workflow-guide

secure-workflow-guide 技能總覽

secure-workflow-guide 技能能幫你在 Solidity 程式碼庫上執行 Trail of Bits 的 5 步驟安全開發流程，而不只是做一次性的掃描。它特別適合智能合約團隊、稽核人員與開發者，想在部署或發佈前，建立一條可重複的路徑，從「哪裡看起來有風險？」一路走到「下一步該驗證什麼？」

這個 secure-workflow-guide 技能是做什麼的

secure-workflow-guide 技能聚焦於實務上的安全分流：先找出已知問題，再判斷哪些專門檢查適用，接著以視覺方式檢視結構、整理安全屬性文件，最後回顧手動攻擊面。這使它特別適合用在 Security Audit 的 secure-workflow-guide 場景，當你需要的是超越一般提示建議的完整覆蓋時。

誰適合使用 secure-workflow-guide

如果你的 repo 裡有 Solidity 合約、可升級模式、ERC 代幣，或需要安全審查的整合邏輯，就很適合用它。當你已經有程式碼，並且想要一套能幫你排優先順序、選對後續檢查、避免跑到不相關工具的流程時，它會特別有幫助。

secure-workflow-guide 有什麼不同

和一般「幫我 review 這個合約」的提示不同，secure-workflow-guide 是以流程為骨架設計的。它提供一套安全順序：先用 Slither 做初步分流、只在適用時才跑特殊功能檢查、用圖表輔助檢視、文件化安全屬性，再給出手動審查指引。這種結構能減少猜測，也能避免只做表層稽核，漏掉合約特有的風險。

如何使用 secure-workflow-guide 技能

正確安裝並啟動 secure-workflow-guide

安裝方式：

npx skills add trailofbits/skills --skill secure-workflow-guide

接著，用具體的 repo 與明確的安全目標來呼叫 secure-workflow-guide 技能。最好的提示會點出合約類型、可疑架構，以及你需要做的決策。例如：“Run secure-workflow-guide on this UUPS staking system and focus on upgrade safety, access control, and ERC20 assumptions.”

提供正確的輸入給 secure-workflow-guide

secure-workflow-guide 的使用效果最好是在你提供以下資訊時：

• 目標 repository 或合約路徑
• 程式碼是否可升級、像代幣，或整合性很重
• 目前所處階段：合併前、部署前，或稽核準備
• 已知疑慮，例如初始化、授權，或 proxy storage layout

弱的提示會是 “check this project.”；更好的提示則是 “Use secure-workflow-guide on contracts/ and prioritize upgradeability, token handling, and high-severity Slither findings.”

先讀這些檔案

先看 SKILL.md，再檢視 resources/WORKFLOW_STEPS.md 取得精確的 5 步驟流程，並查看 resources/EXAMPLE_REPORT.md 了解預期輸出長什麼樣。若你想快速掌握這個 repository，這兩個資源比把整棵樹掃過一遍更有用。

按照流程順序使用

不要直接跳到特殊檢查。secure-workflow-guide 指南的設計，是先從已知問題開始，再只針對你的程式碼庫真正需要的檢查分支下去。這個順序很重要，因為它能避免你把時間花在不相關的分析上，也能更快找出最有價值的修正。

secure-workflow-guide 技能 FAQ

secure-workflow-guide 只適用於 Solidity 嗎？

它是以 Solidity 智能合約審查為核心。如果你的專案不是 EVM 合約程式碼庫，secure-workflow-guide 技能通常就不太適合；這時一般的程式碼審查提示可能更好。

這和一般提示有什麼不同？

一般提示可以要求做 review，但 secure-workflow-guide 內建的是一套安全流程：掃描、分類、檢視、文件化與驗證。當你要的是一致的稽核準備，而不是臨時性的意見時，它會更合適。

這個技能適合初學者嗎？

適合，只要你能指向一個 repo 並說清楚目標就行。你不需要事先熟悉每個 Slither plugin。當你能描述合約的型態時，這個技能會更有幫助，因為 secure-workflow-guide 就能據此挑選流程中正確的分支。

什麼情況下不該用它？

不要把它當成正式稽核判斷的替代品，也不要期待它能驗證前端或後端應用邏輯這類非合約系統。當問題是「我該對這個 Solidity 程式碼庫跑哪一套安全流程？」時，它的效果最好。

如何改進 secure-workflow-guide 技能

提供更精準的脈絡

品質提升最大的關鍵，是讓 secure-workflow-guide 技能知道什麼最重要：升級安全、代幣行為、授權、初始化，或外部整合。如果第一輪輸出看起來太廣，就把任務縮到單一合約家族或單一風險類別。

提供具體素材，不要只給意圖

如果可以，請直接指出要檢查的特定合約、proxy 名稱、代幣標準，或你要它驗證的假設。“Review the staking system” 不如 “Review Staking.sol and StakingProxy.sol for initialization, role gating, and storage compatibility.” 來得清楚。第二種提示會讓 secure-workflow-guide 的使用效果更好，因為它能減少檢查優先順序上的歧義。

從發現結果迭代，不要從整個 repo 重跑

第一輪完成後，把最重要的結果回饋回去，並要求下一個決策：修正優先順序、誤報分流，或更深入的手動審查。這通常比重新跑一次完整流程更有效。對於 Security Audit 的 secure-workflow-guide 而言，最好的輸出通常來自第一份報告之後的縮小範圍，而不是盲目擴大範圍。