用途：该技能为 Citizen Intelligence Agency 平台提供安全开发生命周期（SDLC）指导，把安全从需求贯穿到部署，而非事后补救。适用于启动新功能、定义需求、设计架构、编写涉及敏感政治数据的代码、规划测试、准备发布及部署后安全评审；不适用于运营安全监控、基础设施层安全或无生命周期语境的纯代码评审。
主要能力：按六阶段组织。需求阶段定义认证、授权、数据保护、输入校验、审计日志与隐私等安全需求，并列出威胁模型、数据分级、权限矩阵、合规映射清单。设计阶段强调纵深防御、最小权限、失效安全、职责分离与机制简单，要求分层架构、禁止网页层直连数据库、外部 API 经服务层、错误不泄露敏感信息、启用 CSRF。编码阶段给出 Java/Spring 栈实践：JPA 参数化查询、控制器层输入校验 @Valid、构造器注入、只读事务 @Transactional(readOnly = true)、外部数据校验、Vaadin 输出编码，禁止记录密码令牌等敏感数据。测试阶段覆盖单元测试（JUnit 5 + Mockito）、SAST（CodeQL、SonarCloud）、依赖扫描（OWASP Dependency Check）、集成测试（Spring Test + TestContainers）、DAST（ZAP）与季度渗透测试，并设定覆盖率与门禁目标。部署阶段以 GitHub Actions 安全门禁串联 mvn test、mvn dependency-check:check、codeql-analysis、sonarcloud-scan、zap-scan，并列出密钥管理、迁移评审、最小权限模板、监控与回滚清单。运维阶段监控日志、每周查看 Dependabot 告警、季度评审、事件后更新威胁模型。附带决策流程图与 ISO 27001、NIST CSF 对照表。
使用方式：在对应开发阶段查阅相应阶段清单与规则，按决策流程逐阶段实施并勾选检查项。
限制：资料针对 CIA 平台的 Java/Spring、Vaadin 与 GitHub Actions 技术栈，其他栈需自行适配；具体命令、工具配置及平台支持范围暂未提供。