用途：提供较完整的安全评估与修复流程，适用于安全审查、合规检查、漏洞评估等场景。该技能按阶段组织工作，不同阶段会调用 security-auditor、requirements-analyst、technical-writer 等代理角色。
主要能力与阶段： 1）威胁评估：范围含认证与授权、数据保护、API 安全、依赖漏洞、基础设施安全；产出威胁模型、风险评估与优先级清单。 2）自动化扫描：可运行依赖检查（npm audit、pip-audit、cargo audit）、静态分析（semgrep、bandit 等）、密钥扫描（trufflehog、gitleaks）；产出含严重度评级（如 Critical、High、Medium、Low）的漏洞报告。 3）手动代码审查：关注输入验证、输出编码、认证逻辑、授权检查、密码学使用、会话管理。 4）渗透测试：测试 SQL 注入、XSS、CSRF、认证绕过、权限提升。 5）修复规划：依据漏洞报告创建修复任务，按严重度排序，估计时间线并分配资源。 6）修复实施：明确为阻塞项，需先通过验证才能继续。 7）安全验证：复测已识别漏洞、回归检查，并确认修复未引入新问题。 8）文档：产出安全审计报告、合规文档与安全最佳实践指南。 9）合规检查：涉及 OWASP Top 10，以及适用的 GDPR、SOC2、HIPAA。
成功标准：所有严重与高危漏洞已修复、满足合规要求、安全测试通过。严重度响应时间参考：Critical 立即处理（如 RCE、认证绕过、数据泄露）；High 24-48 小时（如 SQL 注入、权限提升）；Medium 一周（如 XSS、CSRF、信息泄露）；Low 下个迭代（最佳实践违规）。
使用方式：资料仅说明各阶段及所要运行的命令与检查项，未提供具体安装命令或调用示例，暂未提供。限制：各命令的实际可用性依赖项目语言与工具环境；合规标准中 GDPR、SOC2、HIPAA 标注为“如适用”；技能的具体安装、配置与运行步骤暂未提供。