用途：为软件应用提供端到端安全计划设计，把安全嵌入 SDLC 各阶段，并协调漏洞管理与渗透测试。
主要能力：
- 安全 SDLC 门禁：需求阶段威胁建模与安全用户故事，设计阶段架构评审与数据流图，开发阶段 IDE 插件、预提交钩子与密钥检测，构建阶段 SAST/SCA/IaC 与容器扫描，测试阶段 DAST 与 API 模糊测试，预发与生产阶段渗透测试、WAF、RASP 与补丁管理。
- 威胁建模：采用 STRIDE（仿冒、篡改、抵赖、信息泄露、拒绝服务、权限提升）并给出对应缓解措施，要求数据流图、信任边界、Top 5 风险与安全故事进入迭代待办。
- 工具链标准：给出按语言对应的 SAST、SCA、DAST 工具与阻断阈值；SCA 覆盖直接与传递依赖，要求生成 SBOM、许可证合规检查；容器要求最小基础镜像、非 root、只读文件系统与镜像签名。
- OWASP Top 10 控制：为 A01–A10 逐一给出强制控制，如参数化查询、TLS 1.2+、AES-256、CSP/HSTS、MFA、集中日志与 SSRF 防护。
- API 安全：OAuth 2.0/OIDC、mTLS、资源级授权、模式校验、速率限制、API 清单与版本弃用策略。
- 漏洞管理：CVSS 结合资产重要性与可利用性排定修复时限，集成 EPSS 与 CISA KEV，要求负责人 24 小时内分配与每周烧尽报告。
- 渗透测试与代码评审：列出测试类型、频率、范围、规则约定与代码评审清单。
使用方式：本文档为角色化安全计划与清单，并非可直接执行的命令或代码；具体实施命令与配置暂未提供。
适用场景：需要建立或完善应用安全计划、安全门禁、漏洞响应与渗透测试流程的团队。
限制：不包含具体产品价格、平台细节或可直接运行的命令示例；各工具的实际部署需另行参考其官方文档。