security-review

用途：在审查代码安全漏洞、实现认证授权、处理用户输入、管理密钥或进行安全审计时使用。该技能按阶段推进：先界定攻击面与敏感数据流并确认合规要求；再逐项核对 OWASP Top 10（2021）各类别并记录严重程度；随后按类别深入，包括认证模式选择（JWT、会话、OAuth2/OIDC、Passkeys/WebAuthn）、JWT 安全要点、输入验证与文件上传校验；接着进行基础设施与依赖加固，如分环境密钥管理、依赖审计命令（npm audit、pip-audit、govulncheck、cargo audit）、安全响应头与 CORS 规则；最后用 STRIDE 对新功能或重大变更做威胁建模。技能还提供安全审查深度决策表，按变更类型（认证、用户输入、依赖更新、API 端点、配置、文件上传）确定审查重点，并列出常见反模式、密钥轮换周期及可并行派发子代理的场景。限制：各阶段设有前置条件（攻击面映射、10 类检查完成、整改建议齐备）方可继续；该技能为灵活型，可按变更类型调整深度，但 OWASP 清单和 STRIDE 分析强烈建议用于任何认证或输入处理变更，密钥管理规则不可协商。具体命令、示例代码及配置值均以原始资料为准。