用途：在部署或审计可访问敏感数据与云 API 的无服务器函数时使用，覆盖 AWS Lambda、Azure Functions、GCP Cloud Functions，也可用于将无服务器安全接入 DevSecOps 流水线。资料说明其不适用于容器计算安全、API Gateway 配置和架构设计决策。
主要能力与用法： 一、最小权限 IAM：为每个函数分配独立执行角色，权限限定到具体资源，不跨函数共享；示例命令为 aws iam create-role 与 aws iam put-role-policy，并应避免使用 FullAccess 类托管策略。 二、消除硬编码密钥：改用 AWS Secrets Manager、Azure Key Vault 或 HashiCorp Vault，运行时通过 SDK 或扩展获取并缓存；可用 aws lambda update-function-configuration 配置 KMS 加密环境变量。 三、依赖漏洞扫描：在 CI/CD 中集成 npm audit、pip-audit、Snyk、Trivy、Semgrep，示例命令包括 npm audit --audit-level=high、snyk test --severity-threshold=high、pip-audit -r requirements.txt --desc on --fix、trivy fs --severity HIGH,CRITICAL ./lambda-package/。 四、输入校验：用 JSON Schema 等校验 API Gateway 等事件源数据，防御 SQL、命令与 NoSQL 注入，数据库操作应使用参数化查询。 五、调用端点认证：函数 URL 应使用 AWS_IAM 等认证而非 NONE，API Gateway 可配置 Cognito 授权方；命令如 aws lambda create-function-url-config --auth-type AWS_IAM。 六、运行时监控：启用 GuardDuty Lambda 网络活动日志和 CloudWatch 结构化日志，并可用 X-Ray 追踪异常连接。
限制与前提：需要具备相应平台部署权限、CI/CD 依赖扫描工具、密钥管理服务与日志监控服务；关键词冷启动、事件注入、执行角色、函数 URL、层、预留并发与预置并发均在此技能概念中给出。文档未提供收费、价格或效果数据。