该技能提供一套结构化的 Python 安全开发方法，覆盖 OWASP Top 10、安全编码模式与验证清单，可贯穿从威胁建模到部署的安全开发生命周期。
用途：在设计、实现和验证 Python 应用时提供安全指导，也可用于代码安全审查。
主要能力：
- 安全设计阶段：识别信任边界、梳理数据流、枚举入口点，并将攻击面映射到 OWASP Top 10；建议集中式认证授权中间件、边界输入校验、最小权限数据库访问、纵深防御与默认拒绝。
- 安全实现：列出关键禁止模式及替代方案，例如禁止对不可信输入使用 eval()/exec()（改用 ast.literal_eval() 或专用解析器）、禁止 pickle.load()（改用 json.loads() 或 Pydantic 校验）、yaml.load() 改用 yaml.safe_load()、避免 shell=True 与 os.system()、SQL 使用参数化查询、安全用途改用 secrets 模块、密码哈希使用 bcrypt 或 argon2-cffi、禁止硬编码密钥、生产环境禁用 DEBUG=True。
- 安全验证：静态分析（bandit、semgrep、pylint）、依赖审计（pip-audit、safety）、密钥检测（detect-secrets）、代码审查与安全测试。
- 依赖与部署安全：固定依赖版本并校验哈希、CI/CD 中运行 pip-audit、容器镜像扫描（trivy）、强制 TLS 1.2+、配置安全响应头、运行时注入密钥、非 root 运行、结构化日志且不记录敏感信息。
使用方式：按安全审查工作流执行——扫描关键禁止模式、检查输入校验、验证认证授权、审查数据处理、检查错误处理、审计依赖、验证日志、运行静态分析并报告发现。常用命令包括 bandit -r src/ -f json -o bandit-report.json、pip-audit、safety check、detect-secrets scan > .secrets.baseline、semgrep --config=p/python --config=p/owasp-top-ten src/。
适用场景：Python Web 应用（Django、Flask、FastAPI）的安全设计、实现与审查，以及依赖管理和部署加固。
限制：资料未提供具体收费、价格、平台支持范围或效果保证等信息。