用途：该技能用于应用安全、漏洞管理与合规，适合实施安全控制、加固代码库、开展安全审计或发布前安全检查、应对新披露的 CVE，以及满足 SOC 2、PCI-DSS、HIPAA、GDPR 合规要求，并把 SAST、依赖与合规门禁接入 CI/CD。
主要能力：安全扫描器检测源码中的硬编码密钥、SQL 注入、XSS、命令注入和路径穿越；漏洞评估器扫描 npm、Python、Go 依赖清单中的已知 CVE，给出 CVSS 分、修复版本和 0-100 风险分；合规检查器校验 SOC 2、PCI-DSS、HIPAA、GDPR 的控制项（访问控制、加密、审计日志、认证强度）；另含审计、CI/CD 安全门禁、CVE 分级（含 SLA 分层）与五阶段事件响应工作流，以及 OWASP Top 10 防护、安全编码清单和分语言 BAD/GOOD 模式。
使用方式：先确认三项输入——目标路径、合规框架（--framework）与严重级别阈值（--severity）；若用户表示只需草稿，可先产出并在文首列出假设。主要命令：python scripts/security_scanner.py <target> --severity high --json --output report.json；python scripts/vulnerability_assessor.py <target> --severity critical；python scripts/compliance_checker.py <target> --framework soc2 --json --output soc2.json。
限制：仅做静态源码分析与依赖 CVE 评估，不含 DAST 或运行时分析（可用 OWASP ZAP、Burp Suite），不含 IaC 安全（见 senior-devops）、容器镜像扫描或 Kubernetes 准入控制（见 senior-devops 或 Trivy），也不执行渗透测试或红队操作。资料未提供定价与平台信息。