用途：在规划应用安全测试策略、设计 OWASP 测试、界定渗透测试范围、集成 SAST/DAST 或编写威胁驱动的测试用例时使用。
主要能力：提出分层安全测试金字塔，从提交级的密钥与依赖扫描（Gitleaks、SonarQube、Snyk、Trivy），到周期性动态扫描（OWASP ZAP、Burp、42Crunch），再到季度人工渗透测试与代码审查；给出各层频率与门禁（阻止严重、高危等）。提供 OWASP Top 10 的对应测试方法（如访问控制、注入、加密失败、SSRF 等），以及按严重级别划分的修复 SLA（严重 24 小时、高危 7 天、中危 30 天、低危 90 天）与验证方式。参考资料包括 security-strategy-template.md、owasp-testing.md（WSTG 类别与用例模板）、dotnet-security-tests.md（认证、输入校验、限流测试）、sast-dast-integration.md（CI/CD 门禁、ZAP 集成、工具对比）。
使用方式：根据任务加载对应参考文档；输入可来自威胁模型与安全需求，输出用于 CI/CD 安全门禁、修复流程与合规证据。典型查询如创建 Web 应用安全测试计划、询问认证相关 OWASP 测试、或在 .NET 中测试 SQL 注入。
适用场景：应用安全测试规划、自动化扫描接入、开发安全运维协作与合规取证。
限制：资料未提供具体安装命令、收费方式与独立运行方式；引用内容依赖外部参考文件，实际执行细节暂未提供。