secure-ship 是一个面向开发者的安全技能包（skill pack），定位为“为 vibe coders 提供的安全能力”，用于在将代码发布到生产环境前进行安全加固与合规检查。其内容基于马来西亚法院案件在 PDPA 2024 下的真实取证发现，并覆盖 PDPA 2024 与 OWASP Top 10 的合规要求。
用途 该技能包用于帮助开发者对任意代码库进行安全审计与修复，尤其适用于即将部署到生产环境、需要检查 PDPA/OWASP 合规、或关注 SQL 注入、Webhook、限流、审计日志等具体安全问题的场景。
主要能力 技能包按请求类型路由到不同的子技能，包括：
- $pdpa-security-audit：运行安全审计、检查 PDPA 合规、OWASP 评估。
- $access-control-patterns：访问控制、IDOR、租户隔离、RBAC、权限。
- $sql-injection-prevention：检查与修复 SQL 注入、参数化查询。
- $input-validation：输入校验、XSS、路径遍历、清理、文件上传。
- $secrets-management：修复密钥、硬编码 API key、.env 设置、密钥轮换。
- $security-headers：安全响应头、CSP、HSTS、点击劫持、helmet。
- $auth-hardening：修复认证、密码哈希、JWT、会话、暴力破解。
- $cors-configuration：CORS、跨源、预检、Access-Control。
- $data-encryption：加密数据、加密 PII、AES、字段加密、PDPA 加密。
- $error-handling-security：错误泄露、堆栈跟踪、详细错误、隐藏错误。
- $audit-logging-workers：添加审计日志、PDPA 审计追踪。
- $webhook-security：修复 Webhook、竞态条件、重复入账、幂等性。
- $ci-security-gates：在 CI 中添加安全、SAST、密钥扫描、CodeQL。
- $rate-limiting：添加限流、防止滥用、请求过多。
- $ssrf-prevention：SSRF、抓取用户 URL、URL 预览、元数据端点、出站流量。
- $dependency-lockfile-audit：检查依赖、typosquatting、恶意包、锁文件。 对于一般的“保护我的项目”请求，先运行 $pdpa-security-audit，再使用其他子技能修复发现的问题。
使用方式 当用户提出“保护我的项目”“检查安全”“是否安全”“会不会被起诉”等请求，或提及 PDPA、OWASP、安全审计、SQL 注入、Webhook、限流、审计日志，或即将部署到生产环境时，该技能包会被激活，并根据请求路由到相应子技能。技能包还提供一份快速审计清单，用于逐项排查常见安全问题，例如：数据库查询是否使用参数化绑定、受保护路由是否强制认证与授权、租户查询是否按 tenantId/userId 限定、IDOR 测试是否覆盖跨租户访问、用户输入是否用 schema（Zod/Joi/Pydantic）校验、是否存在硬编码密钥、.env 是否被 gitignore、密码是否用 Argon2id 或 bcrypt（cost 12+）哈希、登录是否限流、JWT 是否 15 分钟过期且刷新令牌放在 httpOnly cookie、CORS 是否白名单具体源、PII 是否用 AES-256-GCM 静态加密、安全响应头是否配置、错误响应是否泄露堆栈或 SQL、支付 Webhook 是否有幂等保护、Webhook token 是否使用时间安全比较、敏感操作是否有结构化审计日志、CI 中是否有测试与依赖扫描、SAST（CodeQL/Semgrep）、密钥扫描（Gitleaks）、锁文件是否提交并用 npm ci 验证、是否存在 typosquatting 或可疑依赖、认证端点是否限流、文件上传是否校验 magic bytes、用户输入是否传入 shell 命令或 eval()、是否在服务端直接抓取用户提供的 URL、SSRF 控制是否阻止私有/回环/链路本地/元数据 IP、是否存在许可证文件且无 GPL 违规。任何一项未通过，则路由到相应子技能进行修复。
适用场景 适用于开发者、安全工程师在代码发布前进行安全自查与合规准备，尤其涉及个人数据处理、多租户系统、支付 Webhook、文件上传、第三方 URL 抓取等高风险功能时。
限制 资料未提供该技能包的具体安装命令、支持的平台、收费方式或价格信息，这些内容暂未提供。其法律背景部分引用了 PDPA 2010（Pindaan 2024）等条款，但具体适用需结合实际情况判断。