Security Testing Patterns 是一个关于安全测试模式的知识型技能，聚焦于如何系统性地实施安全测试策略，涵盖静态分析、动态测试、渗透测试和漏洞评估。
用途 该技能用于指导安全测试的规划与落地，包括：在 CI/CD 中实现安全测试流水线；开展安全审计与漏洞评估；验证应用安全控制与防御措施；执行渗透测试与安全评审；配置 SAST/DAST 工具并解读结果；测试认证与授权机制；评估 API 安全及 OWASP 标准合规性；将安全扫描集成到开发工作流；响应安全发现并确定修复优先级；以及培训团队掌握安全测试方法。
主要能力 技能以“安全测试金字塔”的分层方法组织内容，层级包括：单元安全测试（测试加密、校验等安全函数）、SAST（开发期静态分析）、SCA（依赖与组件漏洞扫描）、DAST（运行中应用的动态测试）、IAST（结合 SAST 与 DAST 的交互式分析）、渗透测试（专家手动安全测试）以及红队演练（对抗性模拟测试）。
测试类别方面，技能区分四类：静态测试（SAST）在不执行代码的情况下分析源码，可在开发生命周期早期发现问题、覆盖完整代码，但误报率较高；动态测试（DAST）针对运行中的应用，能发现运行时与配置问题，与语言无关，但需要已部署环境；成分分析（SCA）扫描依赖漏洞、跟踪许可证合规并提供自动化修复选项；手动测试则包括渗透测试、业务逻辑验证和复杂攻击场景。
技能还提供快速参考索引，指向以下参考文档：SAST（references/sast.md）、DAST（references/dast.md）、SCA（references/sca.md）、渗透测试技术（references/penetration-testing.md）、API 安全测试与 OWASP Top 10（references/api-security.md）、模糊测试与基于属性的测试（references/fuzzing.md）、安全自动化流水线（references/automation-pipeline.md）。
使用方式 技能给出五阶段安全测试工作流：
- 规划：定义安全需求与威胁模型，选择测试工具与技术，建立基线安全态势，设定严重性阈值与验收标准。
- 自动化测试：将 SAST 集成到 IDE 与 CI/CD 流水线；配置依赖扫描（npm audit、Snyk、Dependabot）；对已部署环境安排 DAST 扫描；进行容器镜像扫描（Trivy、Aqua）。
- 手动测试：认证与授权测试、业务逻辑漏洞评估、API 安全测试（OWASP API Top 10）、渗透测试与利用。
- 分析与修复：按严重性与可利用性对发现分级，消除误报，基于风险确定修复优先级，跟踪漏洞直至解决，并通过回归测试验证修复。
- 持续监控：监控依赖中的新漏洞，代码变更后重新扫描，定期开展渗透测试，更新安全基线与策略。
技能还列出常见错误与对应做法：工具选择上不应只用 SAST 或只用 DAST，而应采用多类型组合的分层方法；误报管理上不应未经审查就忽略或抑制发现，而应建立系统化分级流程并由安全团队验证；集成时机上不应只在发布前做安全测试，而应贯穿开发全程持续测试；范围定义上不应只测主应用代码，而应覆盖依赖、API、基础设施与第三方集成；修复优先级上不应平均对待所有发现，而应按风险（严重性 × 可利用性 × 业务影响）排序；测试认证上不应在未认证情况下做 DAST 扫描，而应配置认证扫描以测试受保护功能。
最佳实践包括：左移（在开发早期集成安全测试）、持续测试（在 CI/CD 中自动化安全扫描）、分层方法（结合 SAST、DAST、SCA 与手动测试）、基于风险的测试（依据威胁模型确定优先级）、误报管理（建立发现分级流程）、修复跟踪（使用 SIEM/SOAR 进行漏洞管理）、定期更新（保持安全工具与特征库最新）、安全冠军（培训开发人员安全测试）、指标与 KPI（持续跟踪安全态势）、合规验证（将测试映射到监管要求）。
适用场景 适用于需要建立或改进安全测试体系的团队与项目，例如在 CI/CD 中引入安全门禁、开展安全审计与漏洞评估、验证认证授权与 API 安全、进行渗透测试与安全评审，以及为开发团队提供安全测试方法培训。
限制 资料未提供该技能的具体安装命令、运行环境要求、支持的平台或工具版本、收费与价格信息，也未给出实际使用步骤或效果数据，这些内容暂未提供。技能内容以方法论与参考文档索引为主，实际落地需结合团队所选工具与环境。
资源 技能列出的参考资源包括：OWASP Testing Guide（https://owasp.org/www-project-web-security-testing-guide/）、OWASP API Security（https://owasp.org/www-project-api-security/）、NIST SP 800-115、PTES（Penetration Testing Execution Standard）、SANS Security Testing（https://www.sans.org/security-resources/）、HackerOne Methodology（https://www.hackerone.com/ethical-hacker/hack-learn）、PortSwigger Academy（https://portswigger.net/web-security）。