用途：扫描基础设施即代码模板、应用配置文件与系统设置，检测安全错误配置，映射 OWASP A05:2021（安全配置错误）与 CIS 基准，覆盖 AWS、GCP、Azure 云资源，Kubernetes、Docker 容器编排，Nginx、Apache Web 服务器及应用框架。
主要能力：检查云存储公开访问、未加密存储、缺失版本控制与过宽桶策略；标记安全组对敏感端口（22、3389、3306、5432、27017）开放 0.0.0.0/0 入站、缺失 VPC 流日志；检测 IAM 通配符权限、管理员服务账号、缺失 MFA、硬编码凭据（CWE-798）；识别不必要的公网 IP、未加密卷、缺失 IMDSv2；标记公开数据库实例、缺失静态加密、默认端口暴露；检测生产环境调试模式、默认凭据、CORS 通配符、缺失 CSRF 保护、配置中的 API 密钥；检查容器以 root 运行、缺失资源限制、privileged: true、可写根文件系统、未固定镜像摘要。
使用方式：需在 ${CLAUDE_SKILL_DIR}/ 中可访问 IaC 文件（Terraform .tf、CloudFormation .yaml/.json、Ansible playbook、Kubernetes manifest）、应用配置（application.yml、config.json、.env.example、web.config）、容器定义（Dockerfile、docker-compose.yml、Helm chart）及 Web 服务器配置（nginx.conf、httpd.conf、.htaccess），并对 ${CLAUDE_SKILL_DIR}/security-findings/ 有写权限。可选安装 tfsec、checkov 或 trivy config 做自动预扫描。流程为发现配置文件、按类别检查、将发现分级为 Critical/High/Medium/Low，生成 ${CLAUDE_SKILL_DIR}/security-findings/misconfig-YYYYMMDD.md 报告，含严重级别、CIS/CWE 映射、受影响文件与行号、修复代码与验证命令。
适用场景：审计 Terraform 安全组与 IAM 通配符策略、审查 Kubernetes manifest 不安全默认值、审计 Nginx 与应用配置的调试模式与信息泄露。
限制：无法读取 SOPS 加密或二进制配置；语法错误文件会被跳过并记录；配置文件超过 500 个时按类型优先处理；非生产环境的刻意配置可能误报，支持 .securityignore 覆盖。具体收费、平台与效果暂未提供。