用途
qe-security-compliance 用于指导使用 v3 的安全与合规测试能力，包括 SAST/DAST 扫描、漏洞检测、合规审计和安全门禁执行。它适用于执行安全审计、扫描漏洞、验证合规、检查依赖以及设置安全门禁等场景。
主要能力
该技能提供以下安全操作能力：
- SAST 扫描：对指定范围的代码进行静态分析，检查 SQL 注入、XSS、命令注入、路径遍历、不安全加密、硬编码密钥等问题，可指定 OWASP Top 10 规则和严重级别。
- 依赖扫描：检查 package.json、package-lock.json 等来源，识别已知漏洞、过时包、许可证合规和供应链风险，支持自动修复（可配置 dryRun）。
- 合规审计：针对 SOC2、GDPR、HIPAA 等标准，对代码、配置和基础设施（如 terraform/）进行审计，输出差距、证据和建议。
- 密钥检测：在代码和配置中检测 API 密钥、密码、令牌、私钥、连接字符串等，可排除测试文件，并支持检测时阻止和通知安全团队。
- OWASP Top 10 覆盖：对 2021 版 OWASP Top 10 各项提供检查，其中多数为全自动，A04、A08、A09 为部分自动。
- 安全报告：生成结构化报告，包含评分（0-100）、按严重级别统计的漏洞数量、漏洞详情（含 CWE、OWASP 分类、修复建议）、依赖漏洞、合规状态与差距、密钥检测位置等。
- 安全门禁：可配置阻止合并的条件（如存在严重漏洞、高危漏洞超过 2 个、检测到密钥、合规失败），警告条件（如中危漏洞超过 5 个、过时依赖超过 10 个），以及强制要求（签名提交、代码审查、安全扫描）。
使用方式
可通过命令行快速执行：
# 完整安全扫描
aqe security scan --scope src/ --checks all
# 漏洞检查
aqe security vulns --dependencies --severity critical,high
# 合规审计
aqe security compliance --standard soc2 --output report.html
# OWASP 检查
aqe security owasp --top-10 --scope src/
也可通过智能体工作流调用，例如使用 qe-security-auditor 执行综合安全审计（SAST 扫描、依赖漏洞检查、密钥检测、OWASP Top 10 验证并生成修复步骤），或使用 qe-compliance-checker 验证 SOC2 合规要求（访问控制、加密、审计日志、数据保留）并生成合规证据报告。
适用场景
- 在代码提交或合并前进行安全扫描与门禁检查。
- 对项目依赖进行漏洞与许可证合规检查。
- 针对 SOC2、GDPR、HIPAA、PCI-DSS、ISO 27001 等标准开展合规审计。
- 检测代码与配置中的敏感密钥泄露。
- 按 OWASP Top 10 对应用进行安全验证。
限制
合规标准中 SOC2、GDPR、HIPAA、ISO 27001 的自动检查为部分支持，PCI-DSS 为完全支持。OWASP Top 10 中 A04、A08、A09 为部分自动化。具体实现细节、平台支持范围、收费与价格信息暂未提供。
协调关系
主要智能体包括 qe-security-auditor、qe-security-scanner、qe-compliance-checker，协调者为 qe-security-coordinator。相关技能包括 qe-quality-assessment 和 qe-contract-testing。