用途：该技能用于指导安全开发，核心原则是纵深防御与最小权限——叠加多层控制、只授予最小权限，并假设每一层都可能失效。它以攻击者视角对每个功能提出六个问题：谁能访问（认证）、是否被允许（授权）、是否看到不该看的数据（数据暴露）、是否能做不该做的事（权限提升）、是否能破坏他人使用（拒绝服务）、出事后能否被发现（审计日志）。
主要能力：提供 OWASP Top 10 速查表，逐项给出漏洞与关键防御，如访问控制按资源校验并默认拒绝、密码使用 Argon2/bcrypt 而非 MD5/SHA1、注入类问题使用参数化查询与转义、限流与 STRIDE 威胁建模、生产关闭调试与通用错误信息、依赖扫描、安全 Cookie 与加密随机会话 ID、带校验的 JSON 而非 pickle、记录安全事件与失败认证、SSRF 使用 URL 允许列表并屏蔽内网 IP。还涵盖输入校验（优先允许列表而非拒绝列表，并用 pydantic 做分层校验）、上下文感知的输出编码（HTML、URL、JS、SQL 分别处理）、密钥管理（禁止硬编码，使用环境变量并校验，生产用 AWS Secrets Manager、HashiCorp Vault 或平台原生密钥库）、常见漏洞修复（路径穿越、批量赋值、CSRF）以及安全工具链。
使用方式：在安全评审、漏洞排查、认证授权设计时触发。工具命令保持原样，例如 bandit -r src/ -f json -o report.json、safety check、npm audit、trivy image myapp:latest。
适用场景与限制：适合开发与评审阶段的安全检查清单落地。资料未提供具体平台支持范围、收费方式或效果保证，相关细节暂未提供。