Senior Security 是一套完整的高级安全工程工具箱，围绕现代工具与最佳实践构建，主要面向应用安全、渗透测试、安全架构与合规审计场景。
用途
该技能用于在开发与安全工程流程中系统化地开展威胁建模、安全审计和渗透测试自动化。它把安全工程中常见的重复性任务脚本化，并配套参考文档，帮助使用者在项目早期识别威胁、在开发过程中检查安全问题、在测试阶段执行自动化渗透测试。
主要能力
该技能通过三个自动化脚本提供核心能力：
- 威胁建模器（Threat Modeler）：用于威胁建模任务的自动化工具，具备自动生成脚手架、内置最佳实践、可配置模板和质量检查等特性。使用方式为：
python scripts/threat_modeler.py <project-path> [options]
- 安全审计器（Security Auditor）：用于综合分析与优化的工具，具备深度分析、性能指标、修复建议和自动修复等特性。使用方式为：
python scripts/security_auditor.py <target-path> [--verbose]
- 渗透测试自动化器（Pentest Automator）：面向专门任务的高级工具，具备专家级自动化、自定义配置、可集成和生产级输出等特性。使用方式为：
python scripts/pentest_automator.py [arguments] [options]
此外还提供三份参考文档：
- references/security_architecture_patterns.md：安全架构模式，包含详细模式与实践、代码示例、最佳实践、应避免的反模式以及真实场景。
- references/penetration_testing_guide.md：渗透测试指南，包含分步流程、优化策略、工具集成、性能调优和故障排查指南。
- references/cryptography_implementation.md：密码学实现，包含技术栈细节、配置示例、集成模式、安全注意事项和可扩展性指引。
使用方式
开发工作流如下：
- 安装与配置：
# 安装依赖
npm install
# 或
pip install -r requirements.txt
# 配置环境
cp .env.example .env
- 运行质量检查：
# 使用分析脚本
python scripts/security_auditor.py .
# 查看建议
# 应用修复
- 实施最佳实践：遵循上述参考文档中记录的模式与实践。
最佳实践摘要涵盖四方面：
- 代码质量：遵循既定模式、编写全面测试、记录决策、定期复查。
- 性能：先测量再优化、使用适当的缓存、优化关键路径、在生产环境监控。
- 安全：校验所有输入、使用参数化查询、实现正确的身份认证、保持依赖更新。
- 可维护性：编写清晰代码、使用一致命名、添加有用的注释、保持简单。
常用命令包括：
# 开发
npm run dev
npm run build
npm run test
npm run lint
# 分析
python scripts/security_auditor.py .
python scripts/pentest_automator.py --analyze
# 部署
docker build -t app:latest .
docker-compose up -d
kubectl apply -f k8s/
适用场景
适用于需要开展威胁建模、安全审计、渗透测试自动化与安全架构设计的工程与安全团队，可用于项目开发流程中的安全质量检查、渗透测试执行以及密码学相关实现参考。其技术栈覆盖：语言（TypeScript、JavaScript、Python、Go、Swift、Kotlin）、前端（React、Next.js、React Native、Flutter）、后端（Node.js、Express、GraphQL、REST API）、数据库（PostgreSQL、Prisma、NeonDB、Supabase）、DevOps（Docker、Kubernetes、Terraform、GitHub Actions、CircleCI）、云平台（AWS、GCP、Azure）。
限制
资料未提供该技能的收费、价格、平台限制或实际测试效果等信息，相关事实暂未提供。故障排查可参见 references/cryptography_implementation.md 中的综合故障排查章节；获取帮助的方式包括查阅参考文档、查看脚本输出信息、查阅技术栈文档以及查看错误日志。