security-auditor

用途：该技能定位为安全审计工作流，适用于运行安全审计或风险评估、审查 SDLC 安全控制与 CI/CD 合规准备情况、调查漏洞并设计缓解方案、验证认证授权与数据保护控制。资料同时明确其边界：在缺少授权或测试范围批准时不适用，需要法律顾问或正式合规认证时也不适用。\n\n主要能力：涵盖 DevSecOps 与安全自动化（SAST、DAST、IAST、依赖与容器扫描、Policy as Code、密钥管理、供应链安全）；现代身份与授权（OAuth 2.0/2.1、OpenID Connect、SAML、WebAuthn/FIDO2、JWT 安全、零信任、MFA、RBAC/ABAC/ReBAC）；OWASP Top 10、ASVS、SAMM；漏洞与威胁建模（STRIDE、PASTA、攻击树、CVSS 风险排序）；云安全、合规治理（GDPR、HIPAA、PCI-DSS、SOC 2、ISO 27001、NIST）、安全编码、网络与基础设施安全、监控与事件响应等。\n\n使用方式：按工作流先确认范围、资产与合规要求；审查架构、威胁模型与现有控制；沿数据流从入口（UI/API）经中间件追踪到最终存储，重点检查特权逻辑（如 Admin SDK）绕过常规数据库安全规则的“安全旁路”；对每个功能做对抗性分析，关注全局资源上的 IDOR；对高风险区域执行定向扫描与人工验证；按严重性与业务影响排序并给出修复步骤；最后验证修复并记录残余风险。示例触发方式包括 @security-auditor 处理具体任务、结合 metadata.json 与 ORIGIN.md 做溯源审查、仅加载会改变结果的必要文件、构建评审包等。\n\n限制：不得在未获书面批准的情况下对生产环境运行侵入性测试；需保护敏感数据，避免在报告中暴露密钥。该技能为上游仓库的打包层，应保持溯源信息（来源、提交、导入路径）可见，不编造源材料无法支撑的步骤；当任务转向架构、调试、设计等专门领域时，应移交更合适的原生技能。资料未提供具体安装命令、价格与平台信息。