用途：该技能用于在代码进入生产前开展系统化安全审查，落实纵深防御，参照 OWASP Top 10、SANS Top 25 和 Hack23 ISMS 安全开发策略。适用于合并前的 Pull Request 审查、既有代码的定期安全审计、处理敏感数据的新功能、引入第三方库或 API、重构认证授权逻辑、重大发布或生产部署前，以及安全事件或漏洞披露之后。不适用于一般代码风格审查、性能优化和业务逻辑功能测试。
主要能力：提供决策树，按用户输入、数据库访问、认证授权、敏感数据处理、外部系统交互逐项判断，并配套 OWASP Top 10 检查清单：访问控制、加密失败、注入、不安全设计、安全配置错误、过时组件、身份认证失败、软件与数据完整性失败、日志与监控失败、SSRF。每项列出检查点与安全/不安全代码模式，例如参数化查询、JPA 命名参数、BCrypt 密码哈希、Spring Security 配置、登录限流、日志防注入、外链白名单等。
使用方式：按决策树选择对应清单，逐项核对代码。结合 SAST/DAST，例如运行 mvn org.owasp:dependency-check-maven:check 检查依赖，并在 pom.xml 中启用 OWASP Dependency Check 插件，可设置 failBuildOnCVSS 阈值。CodeQL 示例配置见于 .github/workflows/codeql.yml，包含 push、pull_request 与每周定时扫描。
限制：所给资料侧重于 Java/Spring 场景，其他语言与框架的适配方式暂未提供；具体收费、版本支持范围、完整安装步骤暂未提供。