identity-federation
Dá ao seu agente de IA instruções prontas para uma tarefa específica, para ele fazer melhor e mais rápido.
O que ela faz
Esta ferramenta ajuda a verificar a segurança de sistemas que permitem que você faça login em vários aplicativos usando uma única conta (como Google ou Facebook). Ela procura por falhas comuns que poderiam ser exploradas.
Quando usar
- ✓Ao testar a segurança de um sistema de login único (SSO).
- ✓Quando você suspeita que as configurações de login podem ser vulneráveis.
- ✓Para entender como os sistemas de login federado funcionam e onde podem falhar.
Exemplo do que pedir para a IA
“Verifique a segurança do nosso sistema de login com SAML e OIDC.”
Quer saber mais? Abra as seções abaixo.
Como usar
O jeito mais fácil: copie a mensagem abaixo e cole no Claude, ChatGPT, Cursor ou outra IA. Ela lê a skill e segue as instruções.
Link da skill
Mensagem pronta para colar
Como funciona
A ferramenta analisa os fluxos de login, como SAML e OIDC, procurando por configurações incorretas ou vulnerabilidades conhecidas. Ela verifica se os tokens de acesso estão sendo usados corretamente e se não há brechas na segurança.
Instalação
Jeito mais fácil: copie o link da skill e cole no Claude, ChatGPT ou Cursor pedindo para seguir as instruções.
No terminal (Claude Code, Codex, Cursor), na pasta do projeto:
npx skills add zhaoxuya520/reverse-skill --skill identity-federationOu baixe só o arquivo:
curl -L https://raw.githubusercontent.com/zhaoxuya520/reverse-skill/main/skills/identity-federation/SKILL.md -o SKILL.mdConteúdo técnico (SKILL.md)
Tradução do texto original do autor no GitHub. Os comandos e códigos estão como no original.
Federação de Identidade (SAML / OIDC / OAuth)
AÇÃO NECESSÁRIA (Execute imediatamente após a leitura)
NOW: Ler precedent-pentest; conta de teste SSO com escopo IdP/SP.NOW: Proibir tentativas de força bruta que bloqueiem contas de usuários reais.NEXT: Ferramentas de captura de pacotes e documentação (URL de metadados).ACT: Mapeamento de fluxo de protocolo → Descasamentos comuns → Validação.
Cenários de Aplicação
- Assinatura da Resposta SAML / Superfície de ataque de adulteração de asserção (padrão de falha clássico).
- OIDC Implícito / Código de Autorização + PKCE ausente.
- Problemas de
redirect_uri/state/nonce. - Metadados IdP e SP, confusão de
issuermulti-tenant. - Complementar a ataques JWT com
api-security(esta habilidade foca em federação e fluxo SSO).
Fluxo de Trabalho
□ 画清：User → SP → IdP → Token → SP
□ 收集：/.well-known/openid-configuration、SAML metadata
□ 检查：redirect_uri 精确匹配、state 绑定、PKCE
□ 检查：SAML 签名覆盖范围、algorithm 降级
□ 会话固定与登出失效
Cadeia de Ferramentas
| Ferramenta | Uso |
|---|---|
| Burp + SAML Raider, etc. | Edição de asserção (autorização) |
| jwt_tool | Segmentos JWT |
| DevTools do Navegador | Cadeia de redirecionamento |
| Logs de gerenciamento do IdP | Auditoria |
Referências
references/sso-flow-checklist.md../api-security/../windows-ad/(IdP Corporativo)
Contexto de Rota
Upstream: MASTER R37
Downstream: API JWT Pura → api-security; IdP em Nuvem → cloud-k8s
Autoverificação de Conclusão da Tarefa
- O fluxo SSO completo foi mapeado?
- Cada achado tem reprodução e impacto?
- Checklist?
Perguntas frequentes
O que é login federado?
É um sistema que permite usar uma conta (como Google) para acessar vários outros serviços sem precisar criar uma nova senha para cada um.
O que são SAML e OIDC?
São protocolos (conjuntos de regras) usados para permitir o login federado de forma segura.
O que a ferramenta verifica especificamente?
Ela verifica problemas como assinaturas de SAML inválidas, redirecionamentos incorretos, e falhas na proteção de fluxos de login como OIDC.
Detalhes
Descrição original do autor
Use for authorized assessment of federated identity systems including SAML, OIDC, OAuth2 flows, SSO misconfiguration, and token confusion issues.
Popularidade
- Estrelas no GitHub
- 42 mil
- Posição no ranking
- #4770
- Licença
- MIT
- Atualizada em
- 22/09/2026
Comentários
- …
Mais skills deste repositório
competition-ad-certificate-abuse
Ajuda seu agente a analisar ataques a sistemas de certificados digitais. Ele investiga como certificados podem ser usados indevidamente para obter acesso.
zhaoxuya520/reverse-skill
competition-agent-cloud
Faz seu agente analisar desafios de segurança em sistemas de IA e nuvem. Ele investiga como prompts, ferramentas e a nuvem podem ser explorados.
zhaoxuya520/reverse-skill
competition-android-hooking
Ajuda seu agente a investigar aplicativos Android. Ele analisa como os aplicativos funcionam internamente e como podem ser modificados ou explorados.
zhaoxuya520/reverse-skill
competition-browser-persistence
Faz seu agente analisar como sites guardam informações no seu navegador. Ele investiga cookies e outros dados para entender como as sessões funcionam.
zhaoxuya520/reverse-skill
Skills parecidas
brand-discovery
Ajuda a definir a identidade de uma marca através de entrevistas estruturadas. Cria um guia completo com o propósito, público e personalidade da marca.
affaan-m/ECC
brand-voice
Cria um perfil de escrita baseado em textos reais da marca. Garante que o conteúdo e as comunicações mantenham um estilo consistente e autêntico.
affaan-m/ECC
brand-guidelines
Faz seu agente aplicar as cores e o estilo visual da Anthropic em materiais. É útil para manter a identidade visual da empresa em diferentes projetos.
anthropics/skills