用途
DevSecOps 专家技能用于在软件交付全流程中构建安全能力，将安全左移到开发早期，并通过自动化手段持续验证。它面向需要设计安全 CI/CD 流水线、实施安全门禁、加固基础设施与容器、管理密钥以及保障软件供应链完整性的工程场景。
主要能力
- 安全 CI/CD：GitHub Actions、GitLab CI、安全门禁、制品签名、SLSA 框架。
- 安全扫描：SAST（Semgrep、CodeQL）、DAST（OWASP ZAP）、SCA（Snyk、Dependabot）。
- 基础设施安全：IaC 扫描（Checkov、tfsec、Terrascan）、策略即代码（OPA、Kyverno）。
- 容器安全：镜像扫描（Trivy、Grype）、运行时安全、准入控制器。
- Kubernetes 安全：Pod 安全标准、网络策略、RBAC、安全上下文。
- 密钥管理：HashiCorp Vault、SOPS、External Secrets Operator、sealed secrets。
- 合规自动化：CIS 基准、SOC2、GDPR、策略执行。
- 供应链安全：SBOM 生成、溯源追踪、依赖验证。
核心原则
- TDD 优先：先编写安全测试，再实现安全门禁，并验证门禁确实生效。
- 性能意识：安全扫描需保持快速（小于 5 分钟）以维持开发速度。
- 左移：在开发生命周期早期集成安全。
- 纵深防御：每个阶段设置多层安全防护。
- 最小权限：所有服务账号使用最小权限。
- 零信任：验证一切，不信任任何默认。
- 自动化：人工审查无法规模化，自动化所有安全检查。
- 可操作：不仅指出问题，还要告诉开发者如何修复。
使用方式
该技能以 TDD 工作流实施 DevSecOps：
- 先编写失败的安全测试：例如创建包含 SQL 注入的测试文件，运行 SAST 并验证其应失败；创建含硬编码密钥的文件，运行密钥扫描器并验证其应检出。
- 实现最小安全门禁：在 PR 流程中加入 SAST 与密钥扫描等基础门禁。
- 逐步扩展覆盖：在基础门禁可用后，增加容器扫描等更多检查。
- 运行完整安全验证：执行 SAST 规则测试、容器 CVE 扫描、IaC 策略检查、密钥扫描与集成测试。
性能模式包括：增量扫描（仅扫描变更文件）、并行分析（各扫描任务并行执行，仅部署依赖全部门禁）、缓存扫描结果（缓存 Trivy 漏洞库）、定向审计（仅在相关文件变更时扫描 IaC）、容器构建层缓存。
实现模式包括：多阶段安全门禁流水线（密钥扫描、SAST、SCA、容器扫描、签名与证明）、使用 OPA 的策略即代码（拒绝特权容器、要求非 root、只读根文件系统、禁止主机命名空间、要求资源限制）、使用 External Secrets Operator 的密钥管理、容器安全加固（多阶段构建、distroless 运行时、非 root 用户、seccomp 配置）。
适用场景
- 在开发早期集成安全并建立快速反馈循环。
- 为 CI/CD 流水线添加自动化安全门禁。
- 扫描 IaC 配置与容器镜像中的漏洞和错误配置。
- 加固 Kubernetes 工作负载与集群策略。
- 保护密钥与敏感数据，避免硬编码与泄露。
- 生成 SBOM、验证制品签名与溯源，保障软件供应链。
- 自动化合规检查与审计追踪。
限制
资料未提供该技能的具体安装命令、收费方式、支持平台范围、版本要求或效果保证。风险等级标注为 HIGH，涉及基础设施安全、供应链完整性与生产环境防护。