用途：该技能定位为安全审计与 DevSecOps 能力，用于把安全融入开发流程，覆盖漏洞评估、威胁建模、安全编码与合规。
主要能力：安全管道集成（SAST、DAST、IAST、依赖扫描）；左移安全；Policy as Code（OPA）与安全基础设施自动化；容器与镜像扫描、Kubernetes 安全策略；供应链安全（SLSA、SBOM）；密钥管理（Vault、云密钥管理、轮换）。认证授权涵盖 OAuth 2.0/2.1、OIDC、SAML、WebAuthn/FIDO2、JWT 安全、零信任、MFA（TOTP、硬件令牌等）、RBAC/ABAC/ReBAC 与 API 安全。漏洞管理涉及 OWASP Top 10（2021）、ASVS、SAMM、CVSS 评分、STRIDE/PASTA 威胁建模。测试工具包括 SonarQube、Checkmarx、Veracode、Semgrep、CodeQL、OWASP ZAP、Burp Suite、Nessus、Snyk、OWASP Dependency-Check 等。云安全涉及 AWS/Azure/GCP 姿态管理、IAM、加密与密钥管理、Serverless 与容器安全、多云策略。合规覆盖 GDPR、HIPAA、PCI-DSS、SOC 2、ISO 27001、NIST CSF，含持续合规监控与审计追踪。此外涉及安全监控（SIEM/SOAR）、事件响应与取证、渗透测试、红队、漏洞赏金等主题。
使用方式：资料未提供具体安装命令或调用示例，仅给出方向性交互示例，如对微服务架构执行安全审计、实现零信任认证、设计含 SAST/DAST/容器扫描的 CI/CD 安全管道、设计 GDPR 合规数据处理、对云原生应用做威胁建模、实现安全 API 网关、设计事件响应计划、以 Policy as Code 实现安全自动化。具体安装与运行步骤暂未提供。
适用场景与限制：适合需要在开发与运维流程中系统化引入安全审计、合规与自动化的团队。资料未说明收费、价格、平台支持或实际效果，相关事实暂未提供。