用途：依据 OWASP 原则开展安全测试与审计，适用于渗透测试、认证/授权测试、输入净化验证和安全配置审查。核心思路是像攻击者一样思考、像防御者一样构建，并将安全测试持续集成到 CI/CD 中。
主要能力：系统化测试 OWASP Top 10（2021）漏洞，包括失效的访问控制、加密失败、注入、不安全设计、安全配置错误、易受攻击组件、认证失败、完整性失败、日志失败与 SSRF。每个端点验证认证与授权，用 npm audit 扫描依赖，检查 SQL、XSS、命令注入，核实代码与日志中无密钥暴露。
测试要点：访问控制需测试水平与垂直越权；加密需验证密码哈希、HTTPS 与敏感数据不外泄；注入需测试 SQL 注入、XSS、命令注入；认证需测试弱密码、会话固定与 MFA 强制；配置需检查错误信息不泄露信息。工具类型涵盖 SAST（SonarQube、Semgrep）、DAST（OWASP ZAP、Burp）、依赖扫描（npm audit、Snyk）与密钥扫描（git-secrets、TruffleHog）。
智能体协作：qe-security-scanner 提供多层 SAST/DAST 扫描，qe-api-contract-validator 负责 API 安全测试，qe-quality-analyzer 做安全代码审查，并可协调多个智能体并行执行安全测试策略。
使用方式：可编写单测验证越权返回 403、注入被拦截、密码被哈希、错误信息通用化、限流触发 429 等；在 CI/CD 中集成依赖审计（npm audit --audit-level=high）、SAST 扫描、密钥扫描与 DAST 扫描；亦可配置 pre-commit 钩子运行 git-secrets --scan 与 npm run lint:security。
限制：资料未提供本技能的具体安装命令、收费信息与版本要求，暂未提供。常见错误包括依赖隐蔽式安全、仅做客户端校验、信任用户输入与硬编码密钥，应改用正规认证、服务端校验、输入净化与密钥管理。