用途：该技能用于对自有或获授权的代码库做防御性安全审计，发现随默认交付的不安全配置，包括硬编码凭据、默认口令、fail-open（出错即放行）处理、不安全默认设置与弱加密算法。适用于配置审计、CI/CD 预部署安全检查、合规验证（SOC2、PCI-DSS、HIPAA）、第三方组件评估与受控环境教学。资料明确禁止未授权利用凭据、用默认口令访问系统或绕过安全控制。
主要能力：分为五步。一是凭据检测，提供 grep 模式搜索密码、API key、token、AWS 凭据、私钥与含凭据的连接串，并给出 Semgrep 规则（如 hardcoded-password、hardcoded-password-in-config，标注 CWE-798、OWASP A07）。二是 fail-open 检测，识别 try/catch 中认证/授权错误被捕获后继续执行、以及空 catch 吞掉错误（CWE-636、CWE-390）。三是不安全配置检测，覆盖 CORS 通配来源、TLS 校验关闭、调试模式开启、弱加密（MD5/SHA1 等），对应 Semgrep 规则（CWE-942、CWE-295、CWE-489、CWE-327）。四是环境与配置文件扫描，用 find 查找 .env、config.*、Dockerfile、Terraform 等，并附凭据、网络、认证、错误处理、基础设施五类审计清单。五是报告模板，按类别统计发现数量与严重级别，并列出常见产品默认凭据表（如 PostgreSQL postgres/postgres、RabbitMQ guest/guest、Grafana admin/admin 等），规定应用若随附这些默认值应判为 CRITICAL。
使用方式：在项目根目录执行资料给出的 grep/find 命令，配合 Semgrep 规则与 Trufflehog、git-secrets 等自动化工具扫描，再按清单逐项核查并输出报告。资料强调不得在未运行自动化工具的情况下报告“无发现”。
限制与说明：技能仅限防御性安全分析与授权研究；资料未提供具体安装命令、收费或平台细节，暂未提供。