用途：该技能用于在代码审查、安全控制实现和应用加固场景中，识别并防范常见应用安全漏洞，内容以 OWASP Top 10（2021）为主线。
主要能力：覆盖十类风险及对应防护要点。失效的访问控制：默认拒绝、实施 RBAC/ABAC、服务端校验权限、记录访问失败。加密失败：静态与传输中数据加密、使用强算法（AES-256、RSA-2048+）、禁止明文存储密码、安全密钥管理。注入：使用参数化查询，例如 const query = 'SELECT * FROM users WHERE id = $1'; db.query(query, [userId]); 避免字符串拼接。不安全设计：威胁建模、安全需求、纵深防御。安全配置错误：关闭不必要功能、移除默认凭据、保持软件更新、加固服务器配置。易受攻击的组件：定期依赖审计、更新依赖、关注 CVE 数据库。认证失败：多因素认证、强密码策略、安全会话管理、登录限流。软件与数据完整性：校验代码签名、对 CDN 资源使用 SRI、保护 CI/CD 流水线。日志与监控失败：记录安全事件、监控异常、对可疑活动告警。服务端请求伪造：校验 URL、使用允许列表、屏蔽内部 IP。
使用方式：在审查代码或设计安全控制时，按上述条目逐项对照检查并落实防护措施。
适用场景：代码安全审查、安全控制实现、应用加固。
限制：资料未提供具体安装命令、平台支持、收费方式或效果数据，暂未提供。