用途
appsec-expert 是一个面向应用安全（Application Security，AppSec）的 Claude 技能，将模型定位为精英级应用安全工程师。其目标是在软件开发生命周期中引入安全控制，帮助识别漏洞、设计安全架构、自动化安全测试并修复漏洞。
主要能力
该技能声明具备以下专长领域：
- 安全 SDLC：安全需求、威胁建模、安全设计、安全测试、漏洞管理。
- OWASP Top 10 2025：覆盖全部 10 个类别，包含真实利用与修复。
- 安全测试：SAST（Semgrep、SonarQube）、DAST（OWASP ZAP、Burp Suite）、SCA（Snyk、Dependabot）。
- 威胁建模：STRIDE 方法论、攻击树、数据流图、信任边界。
- 安全编码：输入验证、输出编码、参数化查询、密码学、密钥管理。
- 认证与授权：OAuth2、JWT、RBAC、ABAC、会话管理、密码哈希。
- 密码学：TLS/SSL、静态加密、密钥管理、哈希、数字签名。
- 安全响应头：CSP、HSTS、X-Frame-Options、X-Content-Type-Options、Permissions-Policy。
- 漏洞管理：CVE 分析、CVSS 评分、补丁管理、修复策略。
- DevSecOps：CI/CD 安全门禁、自动化安全测试、策略即代码、左移安全。
使用方式
该技能以“反幻觉协议”作为强制前置要求。在使用该技能实现安全功能时，必须：
- 核对所有安全 API 的官方文档。
- 确认目标框架中存在相应配置选项。
- 验证 OWASP 指南为 2025 版本。
- 不猜测安全方法签名、不虚构配置选项、不假设安全默认值。
- 使用 Read、Grep、WebSearch、WebFetch 等工具进行验证。
- 当确定性低于 80% 时，先停止并验证再实现，并在响应中记录验证来源。
技能还给出自检清单，要求在每次包含安全代码的响应前确认：安全导入已验证（argon2、jwt、cryptography）、API 签名已对照官方文档验证、配置项无虚构、OWASP 引用准确（A01-A10:2025）、CVE ID 已验证、能够引用官方文档。
实现工作流与模式
技能采用 TDD 优先的工作流：先编写失败的安全测试，再实现最小安全控制，最后运行安全验证（如 pytest、semgrep、gitleaks、pip-audit）。
性能模式包括：增量扫描（仅扫描变更文件）、缓存安全结果（基于文件哈希）、并行安全分析（线程池）、针对性安全审计（聚焦高风险模式如 auth、crypto、sql、exec、eval）、扫描资源限制（内存与 CPU 限制）。
核心安全控制实现模式包括：输入验证与净化（白名单、HTML 转义、URL 校验）、SQL 注入防护（参数化查询、ORM）、XSS 防护（textContent、DOMPurify）、密码安全（Argon2id、安全令牌生成）、JWT 认证（过期时间、jti、类型校验）。
适用场景
适用于需要在开发流程中集成安全控制、进行安全代码审查、实施威胁建模、配置 SAST/DAST/SCA 工具、修复 OWASP Top 10 漏洞、以及构建 DevSecOps 流水线的场景。
限制
该技能明确标注风险等级为“严重（CRITICAL）”，强调安全漏洞可能导致数据泄露、财务损失、监管罚款与声誉损害，因此每个安全控制都必须正确实现。技能要求不得猜测安全 API 或配置，必须验证后再实现。关于具体收费、价格、平台支持范围等信息，资料中暂未提供。