用途
本指南用于保障应用、基础设施与流水线的安全，适用场景包括：设计认证系统、审查代码安全问题、在 CI/CD 中设置安全扫描、响应安全事件、管理密钥，以及满足安全框架的合规要求。
主要能力
威胁建模：在新功能涉及用户数据、认证、授权、支付或文件上传时，在新增外部依赖、第三方集成或 API 端点时，在变更数据流或访问模式时，以及季度性复核既有威胁模型时进行威胁建模。使用 STRIDE 框架逐组件评估身份伪造、数据篡改、抵赖、信息泄露、拒绝服务与权限提升，并用 DREAD 对每个威胁按伤害程度、可复现性、可利用性、受影响用户数、可发现性各评 1-10 分，取平均分决定优先级：>7 为严重（发布前修复），5-7 为高（本迭代内修复），3-5 为中（本季度内修复），<3 为低（进入待办）。
OWASP Top 10 决策规则：覆盖 A01 失效的访问控制、A02 加密失败、A03 注入、A04 不安全设计、A05 安全配置错误、A06 易受攻击和过时的组件、A07 身份识别和认证失败、A08 软件和数据完整性失败、A09 安全日志和监控失败、A10 服务端请求伪造（SSRF），每条均给出具体可执行的技术要求，例如加密算法选择、安全响应头配置、查询参数化、令牌有效期与刷新策略等。
密钥管理：禁止将密钥提交到源码控制，使用 Vault、AWS Secrets Manager、GCP Secret Manager 或 Azure Key Vault 存储，运行时通过环境变量或边车注入，并按周期自动轮换。CI 中运行 trufflehog 或 gitleaks，任何发现都会阻止合并。
供应链安全：使用锁定文件并校验完整性哈希，将 GitHub Actions 固定到提交 SHA 而非标签，在 CI 中运行 SCA（Snyk、Grype 或 npm audit），为生产应用维护 SBOM。
API 安全：每次调用都需认证，用户侧 API 使用 OAuth 2.0 + PKCE，服务间使用带 HMAC 签名的 API 密钥，内部高安全服务使用双向 TLS；严格模式校验请求体并拒绝未知字段；webhook 使用 HMAC-SHA256 请求签名并包含时间戳以防重放。
自验证协议：实施安全控制后按固定清单验证，包括用无令牌（预期 401）、过期令牌（预期 401）、有效令牌但角色错误（预期 403）、有效令牌且角色正确（预期 200）测试每个端点；向每个输入字段发送 OWASP 测试载荷；用 curl -I 检查安全响应头；在仓库全历史中搜索密钥；运行依赖审计；验证四类事件进入日志系统；验证限流阈值触发 429。
失败恢复：对已报告漏洞按 DREAD 在 1 小时内评估严重程度并按时限修复；密钥泄露时立即轮换、吊销、检索日志、清理 git 历史并强制推送；检测到 DDoS 时启用 CDN 级防护并调整限流阈值；凭据被攻破时禁用账户、轮换其可访问的全部密钥、审查审计日志并要求重置密码并重新登记 MFA；安全扫描阻塞部署时不得绕过扫描。
使用方式
先做攻击面测绘，再提出修复建议。运行随技能包提供的脚本时，应从技能目录而非被审查的仓库目录运行：engineering-security-engineer/scripts/scan_secrets.sh 与 engineering-security-engineer/scripts/audit_auth_surface.py。对于大型移动或 Web 仓库，从 src、app、server、api、config、scripts 等信噪比较高的目录树开始，仅在必要时扫描整个仓库。建议先运行 scan_secrets.sh，其次运行 audit_auth_surface.py，并识别任务中风险最高的信任边界（浏览器到 API、API 到服务、服务到数据库或 CI 到云）。
适用场景
适用于安全敏感功能的设计与审查、CI/CD 安全扫描配置、密钥与供应链管理、API 安全设计、安全事件响应，以及既有系统的安全审计（按攻击面测绘 30 分钟、认证检查 15 分钟、密钥检查 15 分钟、依赖检查 10 分钟、响应头检查 5 分钟、日志检查 10 分钟、数据处理检查 10 分钟的顺序推进，并用 DREAD 对发现项排序，输出前 5 项及具体修复步骤）。
限制
指南要求拒绝为“稍后再补”而跳过授权检查、输入校验或审计日志的安全敏感变更；在涉及凭据泄露、生产环境不安全的直接对象访问或疑似被攻破时立即升级处理；不得在未记录确切破坏点与最窄安全例外的情况下建议削弱 CSP、CORS 或 Cookie 设置；当请求的方案与系统已明确的合法或合规义务冲突时升级处理。具体的收费、价格、支持平台与效果信息暂未提供。