用途
security-checklist 是一个部署前的安全审计清单，按 OWASP Top 10:2025 分类组织。它的使用场景是：在代码发布或进入生产环境之前，对代码进行安全审查。技能明确说明，这是防止明显灾难的基线，不能替代真正的渗透测试或威胁建模。若需要超出本清单的验证深度，可参考 OWASP ASVS 5.0；若针对 API 范围，可参考 OWASP API Security Top 10:2023。
主要能力
清单覆盖 OWASP Top 10:2025 的十个类别，每个类别包含框架说明、必做项和适用的代码模式参考：
- A01 失效的访问控制：授权在每个端点检查、控制器层默认拒绝、对象级授权、功能级授权、SSRF 防御（出站允许列表、禁止访问 localhost 与云元数据 IP）、数据库行级安全、最小权限数据库用户。
- A02 安全配置错误：加固镜像、移除默认凭据、CORS 指定来源、生产模式标志、不返回堆栈跟踪、云存储默认关闭公开读、管理界面不公开、关闭多余服务、密钥不入源码、环境隔离、API 密钥最小权限。
- A03 软件供应链失效：构建时生成 SBOM、CI 中依赖扫描、版本固定、来源签名、SLSA 采用、定期打补丁、标记并替换已终止支持的运行时、外部脚本与样式表启用子资源完整性。
- A04 加密失效：仅 HTTPS、TLS 1.3 默认且 1.2 最低、HSTS 预加载、安全 Cookie 标志、数据库连接加密、备份加密并测试恢复、argon2id 存储密码、禁用 MD5/SHA-1、不手写加密。
- A05 注入：服务端校验输入、参数化 SQL、argv 列表形式调用系统命令并禁用 shell、LDAP/NoSQL/模板注入同样参数化、HTML 输出转义、响应头注入校验、文件上传校验、URL 与重定向允许列表、解析器实体扩展限制。
使用方式
技能要求先执行“第 0 步：调研当前安全态势”。默认开启，仅在同时满足以下条件时可跳过：当前会话 4 小时内对同一对象运行过该技能、此前调研未发现所审计类别的紧急公告、并在回复中记录一行“Research skipped because <reason>”。技能强调“我觉得我知道”“赶时间”“用户想快点完成”“已经很熟悉”都不是有效的跳过理由。
调研通过并行派发 4 个子代理完成，每个返回不超过 300 词的带引用要点：
- 权威标准：NIST/OWASP/IETF/W3C/CISA 在过去 6-12 个月是否发布新内容。
- 活跃利用：CISA KEV 目录、近期高 CVSS 或在野利用的 CVE/GHSA、泄露复盘与事件报告。
- 工具与库状态：相关包注册表（npm/PyPI/RubyGems/crates.io/pkg.go.dev）的最新主版本、是否弃用或替换、是否翻转安全默认值。
- 从业者讨论：OWASP Cheat Sheet Series、GitHub Security Lab、厂商安全博客、会议演讲、SANS ISC、Krebs 等。
4 项返回后，先写一段“截至今日，所审计的 OWASP Top 10:2025 类别的当前状态”综合段落，指出当前规范上限、1-2 个近期活跃威胁、工具漂移、从业者共识变化。若综合结果与本技能正文冲突，以综合结果为准。若运行时不支持子代理，则改为 4 次顺序定向搜索，产出同样的综合段落。
之后走查全部 10 个类别：阅读框架段落、执行必做项、检查适用的代码模式参考。走查后按类别各提一个 issue 记录缺口。最后的 25 项是/否门禁是部署前总结，不是审计本身。技能强调：如果某项无法检查，就不要发布，先修复。
适用场景
适用于代码上线或进入生产环境前的安全审查，尤其适合需要按 OWASP Top 10 结构化走查的团队。技能正文包含 PostgreSQL/Supabase 行级安全、环境变量、CORS、安全响应头、参数化 SQL、命令注入防护等代码模式示例。
限制
技能明确说明它是基线，不能替代真正的渗透测试或威胁建模。安全知识半衰期约 6-12 个月，正文中的配方最后验证于 2026-05-08，可能已过时，因此必须先做当前态势调研。关于收费、价格、平台支持等具体信息，资料中暂未提供。