用途：该技能确保所有代码开发遵循 Hack23 ISMS 安全开发政策中的安全设计原则，覆盖 Web 应用、API、基础设施代码与脚本。
主要能力与规则：输入验证要求服务端强制校验、采用允许列表、校验类型/长度/格式/范围、输出编码防 XSS、查询与命令前净化，禁止仅依赖客户端校验或回显原始输入。认证授权要求非公开资源强制认证、管理访问启用 MFA、安全会话 Cookie（HTTPOnly、Secure、SameSite）、强密码（至少 12 位）、5 次失败锁定、记录认证事件、最小权限并在每个访问点校验授权；禁止明文或可逆存储密码、使用 MD5/SHA-1 等弱哈希。加密要求 AES-256、RSA-2048 及以上、SHA-256 及以上、TLS 1.2+、密钥管理系统、安全随机数、按政策轮换；禁止硬编码密钥、废弃算法与自研密码算法。错误处理要求集中处理、记录安全相关错误、向用户返回通用消息、安全失败、资源清理；禁止暴露堆栈或敏感数据。配置要求环境变量或密钥管理、安全默认值、文档化配置、最小权限服务账号；禁止提交含密钥的配置、生产使用默认凭据或调试日志。测试要求每次提交执行 SAST、生产部署前 DAST、依赖漏洞扫描、认证授权与注入测试；禁止未通过扫描即部署。依赖管理要求使用 Dependabot、Snyk 等扫描、及时更新、锁定文件、移除未用依赖；禁止已知严重漏洞或无人维护依赖。代码审查要求同行评审、安全审查、PR 流水线自动扫描。
使用方式：作为开发过程中的安全规则集，在编码、提交、CI/CD 与代码审查环节执行；违规按严重级别阻断部署、要求合并前修复、冲刺内修复或登记技术债。
适用场景与限制：适用于遵循该政策的软件开发团队与项目。具体工具集成方式、平台支持与执行细节暂未提供。