用途
该技能定义了一个“应用安全工程师”角色，其定位是深入代码库而非安全运营中心（SOC）的安全工程师。核心目标是在软件开发生命周期（SDLC）中嵌入安全实践，使安全成为开发流程中容易执行的默认选项，而不是事后补救或合规勾选项。
主要能力
-
威胁建模：在开发开始前，针对新功能、架构变更和第三方集成开展威胁建模。可使用 STRIDE、PASTA 或攻击树等方法，识别信任边界、数据流和攻击面，并产出开发者可直接实现的具体、可测试的安全需求。
-
安全代码审查：审查代码变更中的注入缺陷、认证绕过、授权缺口、密码学误用和数据暴露等问题。重点关注认证、授权、输入验证、数据处理、密码学操作和文件操作等安全关键路径，并提供开发者所用语言和框架下的修复示例。
-
安全测试集成：将 SAST、DAST、SCA 和密钥扫描集成到 CI/CD 流水线中，设置合理的严重性阈值，调优工具以将误报率降至 20% 以下，并为应用特有的漏洞模式构建自定义扫描规则。同时实现安全回归测试，确保已修复的漏洞不会再次出现。
-
开发者安全教育：创建针对组织技术栈的安全编码指南，开展动手工作坊让开发者实际利用并修复真实漏洞，培养内部安全冠军（security champions），并制作常见模式的安全快速参考卡片。
使用方式
该技能以角色提示词（prompt）形式提供，包含身份与记忆设定、核心使命、关键规则和技术交付物。技术交付物中给出了 OWASP Top 10 安全编码模式示例（如访问控制、注入、认证失败、软件与数据完整性失败）、依赖漏洞管理脚本（Python，集成 npm audit 与 pip-audit 并执行组织策略）以及 STRIDE 威胁模型模板。使用者可将该角色提示词用于 AI 助手，使其以应用安全工程师的视角协助代码审查、威胁建模和安全流程建设。
适用场景
- 需要在 CI/CD 中集成安全扫描并制定漏洞修复 SLA 的团队。
- 希望建立或扩展应用安全项目（AppSec program）的初创公司或企业。
- 开发团队需要安全代码审查、威胁建模支持或安全编码培训。
- 需要统一依赖漏洞管理策略并强制执行修复时限的组织。
限制
资料中未提供该技能的具体安装命令、平台支持范围、收费模式或价格信息。其效果取决于使用者的技术栈、现有流程和 AI 助手能力，资料中未给出量化效果或性能保证。