Security Operations 是一个面向代码项目的安全审计编排工具（skill）。它的核心工作方式是检测项目技术栈，并行派发多个审计智能体，再把结果整合为一份按严重程度排名的 OWASP 映射报告。
用途 该工具用于对代码库进行安全审计，涵盖依赖漏洞、代码模式（SAST）以及认证与配置三个方面，并可将结果映射到 OWASP Top 10:2025 分类。使用者提出安全审计请求或表达安全关切时触发。
主要能力
- 技术栈检测（T1 Detect，内联、快速）：识别项目中的语言与框架（如 Python、Node.js、Go、Rust、Docker、PHP、Craft CMS、Twig、DDEV），检查已安装的审计工具（pip-audit、npm、govulncheck、cargo-audit、trivy、composer 等），并确定审计范围（改动文件或整个代码库）。
- 审计（T2 Audit，三个并行后台智能体）：
- 智能体 1 依赖审计：运行 pip-audit、npm audit、govulncheck、cargo audit、trivy、composer audit --locked 等，报告包名、版本、CVE、修复版本。
- 智能体 2 代码模式扫描（SAST）：查找硬编码密钥、注入、XSS、eval、shell、弱加密等问题，报告 file:line、模式、严重程度和修复建议。
- 智能体 3 认证与配置审查：检查会话、CSRF、CORS、CSP、JWT、OAuth、限流、环境变量等，报告发现、严重程度、OWASP 类别和修复措施。
- 整合：三个智能体返回后内联整合，去重、按严重程度排名（Critical/High/Medium/Low）、映射到 OWASP Top 10:2025，并生成报告。
- 修复（T3 Remediate）：派发预加载相关语言 skill 的通用智能体，先提出具体修复、安全影响、破坏风险和验证/回滚方案，用户确认后再应用。
OWASP 修订说明 发现项使用 OWASP Top 10:2025 编号（https://top10.owasp.org/2025/），写作如 A05:2025。2025 版对列表重新编号（Injection 从 A03 变为 A05，Misconfiguration 从 A05 变为 A02，SSRF 并入 A01，新增 A03 供应链和 A10 异常情况）。合并或对比旧报告时，需通过 references/audit-quickref.md 中的 2021→2025 对照表翻译，不能仅凭裸编号。
参考资料 按 T1 检测结果加载参考文档，每份为一主题、300 行以内，开头为目录，结尾为可运行的 rg 模式审查清单。涵盖：通用 Web 应用的 OWASP A01-A05、A06-A10、审计速查表、安全响应头；认证/加密代码的认证模式、账户保护、加密模式；PHP 8.x 的输入验证、SQL 查询、反序列化、密码哈希、Composer 供应链；Twig 的转义与模板注入；Craft CMS 的配置加固、访问控制、CSRF 表单、上传与资源、GraphQL 安全、安全公告；DDEV 配置漂移。
使用方式 通过 T1 检测确定栈与范围，T2 并行派发审计智能体，整合后输出报告，T3 在用户确认下修复。审计智能体均使用 model="sonnet"、run_in_background=True 且只读。若智能体派发失败，可回退为内联扫描：直接运行 scripts/dependency-audit.sh 和 scripts/security-scan.sh，并用 ripgrep 手动检查认证模式。
适用场景 适用于需要对 Web 项目、PHP 8.x、Twig、Craft CMS、DDEV 项目进行安全审计与修复的场景。可与其他 skill 结合使用，如 auth-ops、craftcms-ops、supply-chain-defense、laravel-ops、testing-ops、monitoring-ops、debug-ops。
限制与注意事项 Craft 3 和 Craft 4 已过安全生命周期（分别为 2024-04-30 和 2026-04-30），对这两个版本的任何审计都应以该发现作为首要结论（见 craft-advisories.md）。报告格式根据 references/audit-agent-prompts.md 中的模板生成，包含范围、语言、OWASP 修订版本、按类别的严重程度摘要、按严重程度排列并带 file:line 与 OWASP 2025 ID 的发现，以及通过检查项。