用途：该技能提供将安全嵌入软件开发生命周期的系统性指导，适用于实施左移安全、搭建安全工具链、在 CI/CD 中设置安全门禁、建立漏洞管理与安全冠军计划、构建安全 SDLC 流程。
主要能力：给出 DevSecOps 成熟度分级（初始、已管理、已定义、已度量、持续优化）及其关键实践；按类型区分安全测试——SAST（构建期，找代码漏洞，工具 Semgrep、CodeQL、SonarQube）、SCA（构建期，依赖漏洞，Snyk、Dependabot、npm audit）、DAST（运行期，OWASP ZAP、Burp Suite）、IAST（运行期，Contrast、Seeker）、密钥扫描（提交期，Gitleaks、truffleHog）；按流水线阶段（提交、构建、测试、部署、生产）给出安全门禁映射。
使用方式：提供 GitHub Actions 配置示例，如 Semgrep 扫描并上传 SARIF、CodeQL 初始化/分析、SonarQube 扫描与质量门禁、OWASP ZAP 基线扫描与全量扫描；提供 .semgrep.yml、sonar-project.properties、.zap/rules.tsv、.gitleaks.toml、.pre-commit-config.yaml 等配置示例；给出安全门禁阈值评估逻辑（SAST/SCA/DAST 各级别上限、密钥数量、许可证限制）示例，以及漏洞状态流转（新建、已分诊、处理中、已解决、接受风险、误报）的管理模型。
适用场景与限制：适合需要落地 DevSecOps 流程的团队作为方法与配置参考。资料未提供收费、价格、平台支持范围及实际效果验证等说明；技能本身为方法论与示例指导，具体使用需结合自身技术栈与 CI 平台调整。