用途：面向系统运行层的防御性安全参考，覆盖构建流水线、容器与编排器、运行时 API 三个层面，每节均以防御、加固、检测或验证为框架，只描述配置错误、如何检测与预防，不涉及利用方法。
主要能力：按子域分为三个模块。DevSecOps（modules/devsecops.md）覆盖 CI/CD 流水线加固、密钥扫描、Terraform/CloudFormation 等 IaC 配置错误检测、SAST/DAST 集成；容器（modules/container.md）覆盖镜像扫描、Kubernetes RBAC 加固、容器逃逸防御（seccomp/AppArmor/只读根文件系统/非 root）、运行时威胁检测；API 运行（modules/api-ops.md）覆盖 OWASP API Top 10 运行期防御（生产环境 BOLA/认证失效检测、限流执行、服务端授权）、WAF 规则调优、GraphQL/REST 深度与复杂度限制。
使用方式：以模块文件为入口，按运行层信任边界逐层加固——源码到流水线、流水线到基础设施配置、镜像到仓库、容器到宿主机、集群身份到资源、客户端到 API。工具按类别命名，跨生态通用，流水线示例为 CLI 形态而非特定语言源码。
适用场景：需要为 CI/CD、容器集群与对外 API 建立纵深防御的团队，可用于发布前检查、合并前修复与迭代内整改。
限制：本技能聚焦运行期，开发期安全编码模式（参数化查询、输入验证、认证设计、安全响应头）见 moai-ref-owasp-checklist，不在此重复；供应链溯源见 moai-ref-supply-chain，LLM 安全见 moai-ref-llm-security，API 设计见 moai-ref-api-patterns。具体安装命令与价格暂未提供。