用途
该技能面向安全测试与审计场景，用于系统化地发现和验证应用中的安全漏洞。它基于 OWASP Top 10（2021）方法论，覆盖访问控制、加密失败、注入、安全配置错误、认证失败、组件漏洞、日志失败、SSRF 等类别。适用于安全审计、渗透测试、认证/授权测试、输入净化验证、安全配置审查，以及 SAST/DAST 扫描和依赖漏洞检查。
主要能力
技能围绕 OWASP Top 10 提供逐项测试要点：
- 失效的访问控制：测试水平越权（用户 A 访问用户 B 的数据）和垂直越权（普通用户访问管理员接口）。
- 加密失败：检查明文密码、HTTP 传输、敏感数据暴露。
- 注入：测试 SQL 注入、XSS、命令注入。
- 不安全设计：检查速率限制、会话超时。
- 安全配置错误：检查详细错误信息、暴露的 /admin 等端点。
- 易受攻击的组件：使用 npm audit 检查过时或存在漏洞的依赖。
- 认证失败：测试弱密码、无 MFA。
- 完整性失败：检查未签名更新、恶意软件。
- 日志失败：检查是否缺少审计追踪。
- SSRF：测试服务器是否可被诱导请求内部 URL。
技能还提供关键漏洞的测试代码示例，包括水平/垂直越权、SQL 注入、XSS、密码哈希验证、敏感数据不返回、错误信息不泄露、敏感端点不暴露、速率限制防暴力破解等。
使用方式
技能提供安全检查清单，覆盖认证、授权、数据保护、输入验证四个方面：
- 认证：强密码要求（12+ 字符）、密码哈希（bcrypt、scrypt、Argon2）、敏感操作 MFA、失败锁定、登录后更换会话 ID、会话超时。
- 授权：每个请求检查授权、最小权限原则、无水平越权、无垂直越权。
- 数据保护：全站 HTTPS、静态加密、密钥不在代码/日志中、PII 合规（GDPR）。
- 输入验证：服务端验证、参数化查询、输出编码、速率限制。
CI/CD 集成方面，技能给出 GitHub Actions 示例，包括依赖审计（npm audit --audit-level=high）、SAST 扫描、密钥扫描（TruffleHog）、DAST 扫描（OWASP ZAP）。同时提供 pre-commit 钩子示例（git-secrets --scan、npm run lint:security）。
智能体协调方面，技能涉及 qe-security-scanner（多层 SAST/DAST 扫描）、qe-api-contract-validator（API 安全测试）、qe-quality-analyzer（安全代码审查）。提供智能体任务调用示例，如综合多层扫描、OWASP 扫描、修复验证。内存命名空间为 aqe/security/，包含 scans、vulnerabilities、fixes、compliance 子目录。Fleet 协调示例使用并行拓扑，组合多个智能体。
技能还包含运行历史记录方式：每次扫描后将结果追加到 run-history.json，并在扫描前读取以跟踪按严重程度分类的发现数量变化，若严重发现增加则告警。
适用场景
- 安全审计与渗透测试
- 认证/授权测试
- 输入净化验证
- 安全配置审查
- SAST/DAST 扫描
- 依赖漏洞检查
- 密钥泄露检测
- CI/CD 持续安全测试
- 合规审计（SOC2/GDPR/HIPAA）
限制与注意事项
技能列出常见错误：安全靠隐匿（隐藏管理路径而非正确认证）、仅客户端验证、信任用户输入、硬编码密钥。
Gotchas 提示：npm audit 可能对开发依赖报告误报，可用 --omit=dev 过滤生产相关结果；智能体可能跳过 DAST 而只做更快的 SAST，如需两者应明确要求；扫描依赖时需同时检查直接和传递依赖，npm audit --all 可捕获嵌套漏洞。
技能还提到相关技能：agentic-quality-engineering、api-testing-patterns、compliance-testing。技能组合建议：代码审查时与 /code-review-quality 结合，验证发现时使用 /pentest-validation，合规时使用 /compliance-testing。
关于 v3 智能体专用命令（aqe security ...）、SAST/DAST 扫描代码、合规审计、密钥检测和安全门禁，技能指向 references/compliance-agent-commands.md。
工具参考
- SAST：SonarQube、Semgrep，用于静态代码分析。
- DAST：OWASP ZAP、Burp，用于动态扫描。
- 依赖：npm audit、Snyk，用于依赖漏洞。
- 密钥：git-secrets、TruffleHog，用于密钥扫描。