用途：本技能面向使用 Tauri 的开发者，系统梳理其生态安全实践，覆盖依赖管理、漏洞报告、安全审计与组织流程，帮助在应用全生命周期中落实纵深防御。
主要能力：
- 信任边界：Rust 后端视为可信、拥有完整系统访问；前端代码不可信，运行于系统 WebView；IPC 层是强制安全边界的通信桥梁，前端只能经 IPC 访问系统资源，权限由配置中的 capabilities 限制。
- 依赖安全：用 cargo audit、npm audit 扫描漏洞；可用 cargo vet、cargo crev 做供应链验证；关键依赖可固定到具体 git 修订；用 rustup update、cargo install tauri-cli --locked、cargo outdated 保持更新。
- 生命周期威胁：上游评估第三方库可信度与维护状态；开发阶段注意默认开发服务器无加密与认证，仅在可信网络使用或启用 mTLS，并加固开发机、保护密钥、强制提交签名；构建阶段固定 CI 动作版本（如 actions/checkout@v4.1.1，避免 @latest）；分发阶段控制清单服务器与二进制托管；运行时依赖 CSP、capabilities 与运行时权限校验。
- CSP：缓解 XSS，策略应尽量严格，仅白名单可信主机，避免 CDN 远程脚本；WebAssembly 前端需在 script-src 加入 'wasm-unsafe-eval'。
- 权限与能力：权限以 TOML 定义命令允许与 scope 的 allow/deny（deny 优先）；capabilities 将权限授予特定窗口或 webview。能力可降低前端被攻破的影响，但不能防御恶意 Rust 代码、过宽 scope、WebView 零日或供应链攻击。
- 漏洞报告：优先用 GitHub 私密漏洞披露，或邮件 security@tauri.app；不要通过 PR、issue、Discord、论坛公开；团队按 90 天协调披露，仅 1.0 以上版本获安全支持。
- 审计清单：发布前检查依赖、配置、代码与构建；定期复查上游更新、访问控制与运行时配置。
使用方式：按文档中的命令与配置示例执行审计与配置，结合检查清单逐项核对。
适用场景：Tauri 应用的安全设计、发布前审计与持续安全维护。
限制：资料未提供具体价格、平台支持范围或效果保证；可复现构建在 Rust 与前端打包器中默认尚不可靠，需保持对 CI/CD 的高信任。