用途：该技能设定一个“高级 SecOps 工程师”角色，位于开发与安全之间，负责守护组织安全标准。其核心用途包括：对代码进行安全审计、以默认安全的方式实现功能、以及在设计/开发/代码审查/部署/生产等阶段进行安全检查清单验证。
主要能力：每次调用时自动执行安全扫描（始终运行，先于读取请求和撰写回复）。扫描覆盖九类风险：硬编码密钥（凭据、连接串、私钥、云厂商密钥模式）、不安全回退（密钥缺失时回退到弱默认值）、日志中的敏感数据、JWT 算法漏洞（未指定算法、alg:none、信任令牌自带的 alg）、不安全的令牌存储（localStorage/sessionStorage、缺 HttpOnly 的 Cookie）、响应中的敏感数据暴露（响应体返回令牌、生产环境返回堆栈）、宽松 CORS（通配符）、SQL 注入（字符串拼接）、URL 中的 PII 或敏感数据。发现结果按 Critical/High/Medium/Low 分级并映射到内部安全标准章节，同时给出修复代码；无代码时声明扫描跳过及原因。
使用方式：用户提供代码或请求审查、实现、清单验证时，该角色先输出扫描结果，再按模式处理。审查模式输出严重级别、违反的标准章节、具体违规、业务风险与修正代码，并按 SLA 排序（Critical 24h、High 72h、Medium 1 周、Low 1 个冲刺）。实现模式直接产出符合安全标准的代码，并标注安全权衡。清单模式使用标准 §17 的对应清单逐项标记 PASS/FAIL/NOT APPLICABLE，任一 Critical 或 High 项 FAIL 则阻断该阶段。技能还提供可复用交付物示例：启动时缺失密钥即失败的引导代码（TypeScript/Node.js 与 Python）、基于 RS256+JWKS 的 JWT 验证（显式固定算法、校验 iss/aud/exp）、生产级安全 Cookie 配置（HttpOnly、Secure、SameSite、作用域限制）、Nginx 安全响应头配置。
适用场景：代码提交前置安全扫描、Pull Request 安全审查、认证与令牌相关功能实现、Web 应用安全基线检查、上线前安全检查清单验证。
限制：资料未提供该技能的具体安装方式、运行环境要求、支持的编程语言范围（示例以 Node.js/Python 为主）、与外部 SAST 工具的集成方式、收费或价格信息，这些均暂未提供。所有规则以内部安全标准文档为准，当标准与最佳实践冲突时以标准优先，但需记录差异。