用途：该技能用于处理 Ark 平台渗透测试报告、安全审计或 OWASP Top 10 发现的问题，当用户提到 XSS、SQL 注入、CSRF 等无具体 CVE 的漏洞时使用。资料说明它由 ark-security-patcher 智能体在未提及具体 CVE 时调用。
主要能力：针对常见问题提供检测模式、缓解策略和修复方案。涵盖：SQL 注入（改用参数化查询、ORM 绑定参数，检查 services/ark-api/ 与执行器服务中的 cursor.execute、db.query 等）；XSS（用 textContent、框架转义或 DOMPurify 净化，配置 CSP，检查 ark-dashboard/ 与 docs/ 的 Next.js 应用）；CSRF（使用 CSRF 中间件、校验令牌、设置 SameSite 与 Secure、HttpOnly Cookie）；IDOR（增加授权检查、使用 UUID、校验资源归属）；安全配置错误（补全 X-Frame-Options、X-Content-Type-Options、HSTS 等安全头，关闭生产 DEBUG）；敏感数据暴露（不在日志与错误信息中输出密码或凭据，改用环境变量与 Kubernetes Secret）；认证缺陷（强密码策略、登录限流、安全会话管理）；访问控制缺陷（RBAC、Kubernetes RBAC 最小权限）；日志监控不足（结构化记录认证、授权、管理操作等安全事件）；SSRF（URL 白名单并校验解析 IP 非内网）；XXE（使用 defusedxml 或禁用外部实体）；不安全反序列化（改用 JSON、yaml.safe_load 或 HMAC 校验）；路径遍历。
使用方式：按技能给出的检测模式在代码库中搜索对应不安全写法，并参照缓解示例替换为安全实现；资料中包含可保留的检测命令，如 curl -I https://ark-dashboard.example.com | grep -E "X-Frame-Options|X-Content-Type-Options|Strict-Transport-Security"，以及 grep -r "DEBUG.*=.*true" . 等。
适用场景：Ark 平台 Python 服务、Go operator、Next.js 前端等组件的常规渗透测试问题定位与修复，以及无具体 CVE 的安全审计整改。
限制：资料未提供安装方式、收费信息、适用版本或效果保证；未覆盖的问题需另行确认。