用途
Vibe Security Skill 是一个面向 Web 应用与 SaaS 的安全设计、审查技能。它被定位为“基线安全技能”，用于在编码前或发布前，产出下游专业安全技能所需要的契约工件。适用场景包括：
- 设计处理认证用户、个人数据、资金或特权操作的新功能或服务；
- 发布前审查 Web 应用、REST 或 GraphQL API、Webhook 处理器、多租户 SaaS 的安全缺陷；
- 审计 AI 生成代码的盲点（IDOR、明文密钥、缺少 Webhook 签名、无限流）；
- 产出下游设计、交付与运维技能依赖的威胁模型、滥用案例、认证/授权矩阵或密钥计划；
- 多租户隔离审查，验证每个查询与端点上的租户作用域；
- Webhook、支付与第三方集成设计；
- 安全事件复盘，在现实推翻旧威胁模型时刷新它。
不适用场景：功能纯外观、无数据、无认证、无特权操作（改用 practical-ui-design）；问题属于 LLM 特有（提示注入、上下文外泄、工具滥用，改用 llm-security 或 ai-security）；任务是 CI/CD 加固（SBOM、扫描门禁、运行器隔离，改用 cicd-devsecops）；任务是对既有应用做完整审计（改用 web-app-security-audit，它把本技能的工件作为输入）。
主要能力
技能产出四类契约工件（必须按模板格式产出，而非自由散文）：
- 威胁模型——消费方为 api-design-first、observability-monitoring、deployment-release-engineering；
- 滥用案例清单——消费方为 advanced-testing-strategy、observability-monitoring；
- 认证/授权矩阵——消费方为 api-design-first、advanced-testing-strategy；
- 密钥处理计划——消费方为 deployment-release-engineering、cicd-devsecops、observability-monitoring。
技能包含的决策规则：何者视为高风险威胁、认证方式选择、租户作用域执行层、密钥轮换周期、按端点类别的限流形态。技能还覆盖 OWASP Top 10 2025 映射、AI 代码生成盲点、栈相关深度（认证、访问控制、服务端注入、客户端安全、文件上传、安全响应头）与跨平台注意事项。
使用方式
工作流程为：先读 SKILL.md；仅加载当前范围所需的参考资料；以契约形式产出四类工件而非笔记；在写代码前对设计运行决策表。必需输入包括来自 system-architecture-design 的上下文地图与关键流程表，以及来自 database-design-engineering 的访问模式清单；api-design-first 的认证模型字段为可选（缺失时由本技能定义）。若不存在上游上下文地图，应先通过 system-architecture-design 产出，而不是猜测边界。
技能列出的不可协商项包括：每个授权决策默认拒绝；每个输入做服务端校验；每次数据库调用使用参数化查询；Webhook 端点在任何副作用前验证签名；密钥不得进入客户端 bundle、日志或错误消息；每个认证、密码重置与昂贵端点都限流；未授权资源访问返回 404 而非 403；认证状态变化后重新生成会话标识符。
适用场景与限制
技能针对 AI 生成代码列出了六类按频率排序的盲点：IDOR 与缺失租户作用域、无签名验证的 Webhook 处理器、前端 bundle/源码映射/NEXT_PUBLIC_* 中的密钥、MD5/SHA-1 或明文密码存储且登录无限流、字符串拼接构建 SQL、暴露堆栈或查询内部的详细错误响应。反模式章节提供八组具体的前后代码对比（含路由级 IDOR、缺少 Webhook 签名验证、密码存储与暴力破解窗口、前端 bundle 密钥、字符串拼接 SQL、详细错误泄漏、会话标识符未重新生成、受监管场景仅靠应用过滤做租户作用域）。
技能要求：每个高风险威胁都有缓解责任人与目标日期；认证/授权矩阵穷尽（每个资源 × 角色）且默认拒绝；密钥计划须指明存储、轮换节奏、审计路径与事件泄露处置流程；反模式须给出具体前后代码而非原则。设计时还须注意应用跨平台部署在 Windows（开发）、Ubuntu（暂存）、Debian（生产）上的差异，文件权限、大小写敏感文件系统与 MySQL utf8mb4 排序规则均影响安全。
其他事实（如具体安装命令、收费与价格、支持平台清单等）暂未提供。