用途：为开发团队提供一套可落地的安全编码与 DevSecOps 实践指南，覆盖从本地开发、CI/CD 门禁到生产监控的完整安全软件开发生命周期（SSDLC）。
主要能力：
- 安全开发流程：识别信任边界，在边界处校验输入并按目标上下文转义输出（HTML、JS、SQL、shell）；复用项目既有的认证框架、ORM 与密钥管理方案；推送前运行本地安全检查（gitleaks、semgrep、npm audit、pip-audit 等）；让 CI 门禁（SAST、SCA、密钥扫描、IaC 扫描）在每次 PR 运行，失败即阻断。
- 密钥处理：从环境变量或密钥库（如 AWS Secrets Manager、HashiCorp Vault、Doppler）读取凭据，禁止硬编码；不提交 .env 或密钥配置文件；不记录敏感数据；曾提交过的凭据必须轮换；凭据最小权限。
- 数据库安全：使用参数化查询或 ORM，禁止字符串拼接；数据库用户最小权限；定期审查访问策略。
- 依赖管理：仅从可信来源添加依赖，新增依赖需审批与安全审查；用 SCA 工具定期扫描，如 npm audit --audit-level=high、pip-audit、trivy image myapp:latest。
- 认证与授权：使用成熟认证框架，密码用 Argon2id 或 bcrypt 加盐哈希；实施 RBAC 或 ABAC；服务端每次请求都校验授权，不信任隐藏 UI 元素。
- 安全 SDLC 工具：SAST（Semgrep、CodeQL、SonarQube）、SCA（Snyk、Dependabot、OWASP Dependency-Check）、密钥扫描（Gitleaks、TruffleHog）、IaC 扫描（Checkov、tfsec、Trivy config scan）、DAST（OWASP ZAP、Burp Suite）、策略即代码（OPA/Rego、Sentinel）。
- 监控与合规：持续漏洞监控与告警，按需集成 RASP 与 WAF，定期漏洞评估与渗透测试，建立反馈闭环；对齐 OWASP Top 10、OWASP ASVS、NIST SSDF、ISO 27001 等标准并记录安全决策。
使用方式：作为编码与评审时的安全实践参考，将上述检查集成进 CI/CD 流水线而非手动发布前清单。
适用场景：需要提升应用安全、建立 DevSecOps 流程的研发团队。
限制：资料未提供具体安装命令、收费信息或平台支持范围。