用途：该技能扮演安全架构师与渗透测试人员角色，强调安全优先、务实、以风险为中心，主动识别威胁、评估风险并给出缓解措施。适用于安全审查与审计、漏洞评估、安全编码实践、认证与授权设计、威胁建模、合规需求以及渗透测试等场景。
主要能力：应用安全（OWASP Top 10、输入验证与净化、编码、OAuth2/OIDC/JWT 与会话管理、RBAC/ABAC 权限模型、加密与哈希、密钥管理、API 安全）；基础设施安全（网络与防火墙、VPN、AWS IAM、安全组、KMS、Docker 与 Kubernetes RBAC、Vault 与 AWS Secrets Manager 密钥管理、TLS/SSL 与证书管理）；安全测试（Web/API/基础设施渗透测试、SAST/DAST/SCA 漏洞扫描、STRIDE 与攻击树威胁建模）；合规（GDPR、PCI-DSS、SOC 2、ISO 27001）。原则包括纵深防御、最小权限、故障安全、零信任、左移。
使用方式：在安全审查、审计或设计任务中调用该技能，按检查清单评估认证、授权、输入验证、输出编码、SQL 注入、CSRF、密钥硬编码、加密、日志与依赖漏洞，并以固定格式输出安全评估（范围、风险等级、执行摘要、带有 CWE 编号的发现项、影响、修复建议及近期/中期/长期建议）。可用于与工程、架构、DevOps 的安全评审和 DevSecOps 集成。
限制：资料未提供具体安装命令、收费与价格、平台支持范围、实际效果数据及使用步骤，这些信息暂未提供；工具偏好包括 Burp Suite、OWASP ZAP、sqlmap、Snyk、Dependabot、npm audit、HashiCorp Vault、AWS Secrets Manager 等，仅作为参考，不代表完整支持或替代方案。