用途
该技能用于在 Python 项目中落地安全最佳实践，帮助开发者识别并防范常见安全漏洞，覆盖从编码、认证、依赖管理到安全测试的多个环节。其目标与 OWASP 相关实践一致，强调在开发过程中主动预防漏洞，而非事后补救。
主要能力
技能内容按主题组织，主要包括以下方面：
常见漏洞
- SQL 注入预防
- 命令注入
- 路径遍历
- 反序列化攻击
- SSRF 漏洞
安全编码
- 输入验证
- 输出编码
- 安全文件处理
- 密钥管理
- 环境变量
认证
- 密码哈希（bcrypt、argon2）
- JWT 实现
- 会话安全
- OAuth 集成
- API 密钥管理
依赖安全
- pip audit 使用
- Safety 扫描器
- 面向 Python 的 Snyk
- Dependabot 配置
- 漏洞数据库
安全测试
- Bandit 静态分析
- 安全单元测试
- 渗透测试基础
- SAST/DAST 工具
- 代码审查清单
使用方式
资料未提供具体安装命令、调用方式或代码示例，暂未提供。该技能以主题知识形式呈现，可用于指导 Python 安全编码、依赖审计与安全测试实践。
适用场景
- 开发需要防范注入、路径遍历、反序列化与 SSRF 等漏洞的 Python 应用
- 在项目中实施输入验证、输出编码与安全文件处理
- 设计并实现密码哈希、JWT、会话、OAuth 与 API 密钥管理
- 对 Python 依赖进行安全审计（pip audit、Safety、Snyk、Dependabot）
- 引入 Bandit 等静态分析与安全单元测试，建立代码审查清单
前提条件
- Python 基础
- Web 开发基础
学习成果
- 编写安全的 Python 代码
- 防范常见攻击
- 审计依赖
- 安全地实现认证
限制
资料未说明该技能的收费、价格、支持平台、具体版本或效果保证，暂未提供。