用途
vulnerability-scanner 是一套高级漏洞分析原则与流程方法，定位为安全技能（skill），核心目标是帮助使用者以攻击者思维发现并优先处理安全风险，同时以防御专家方式修复。其内容聚焦 2025 年威胁态势，覆盖 Web 应用、供应链、云端配置、代码模式等多个维度。
主要能力
-
安全专家思维模型：提出假设已入侵（Assume Breach）、零信任（Zero Trust）、纵深防御（Defense in Depth）、最小权限（Least Privilege）、失败安全（Fail Secure）等核心原则，并给出威胁建模四问：保护什么资产、谁会攻击、如何攻击、影响是什么。
-
OWASP Top 10:2025 覆盖：列出 A01 至 A10 风险类别，包括访问控制失效（含 IDOR、SSRF）、安全配置错误、软件供应链（新增）、加密失败、注入、不安全设计、认证失败、完整性失败、日志与告警、异常条件（新增）。并说明 2021 到 2025 的关键变化，如 SSRF 并入 A01、A02 升位、A03 供应链新增、A10 异常条件新增、关注点从症状转向根因。
-
供应链安全（A03）：梳理依赖、锁定文件、构建流水线、注册表等攻击向量及对应提问，给出校验包完整性、固定版本、私有注册表、签名与验证制品等防御原则。
-
攻击面映射：列出入口点、数据流、信任边界、资产四类要素，并提供风险 = 可能性 × 影响的优先级矩阵。
-
风险优先级排序：结合 CVSS 分数、EPSS 分数、资产价值、暴露程度四个因素，给出决策树：若 EPSS > 0.5 视为严重需立即处理；否则按 CVSS 分值分档。
-
异常条件（A10 新增）：对比失败开放与失败关闭在认证错误、解析失败、超时场景下的表现，提示检查捕获后忽略的异常处理器、安全操作缺失的错误处理、认证授权竞态、资源耗尽等。
-
扫描方法论：分为侦察、发现、分析、报告四个阶段，明确各阶段任务。
-
代码模式分析：列出查询字符串拼接、动态代码执行（eval、exec、Function）、不安全反序列化（pickle.loads、unserialize）、路径操纵、禁用安全（verify=False、--insecure）等高风险模式，以及 API Key、Token、凭证、云前缀等密钥特征。
-
云端安全：说明共担责任模型（数据、应用由用户负责，基础设施由提供商负责，OS/运行时视情况而定），并给出 IAM、存储、网络、密钥管理的云专项检查项。
-
反模式与报告原则：列出不应扫描而不理解、不应每个 CVE 都告警、不应忽略误报、不应只修症状、不应仅在部署前扫描一次、不应盲目信任第三方依赖等反模式；报告要求每项发现回答“是什么、在哪、为什么、影响、如何修复”，并按严重、高、中、低分级。
使用方式
该技能提供运行时脚本用于自动验证：scripts/security_scan.py，用法为 python scripts/security_scan.py <project_path>。此外提供参考文件 checklists.md，包含 OWASP Top 10、认证、API、数据保护检查清单。
适用场景
适用于代码安全审查、Web 应用安全评估、供应链风险排查、云端配置检查、攻击面梳理与漏洞优先级排序等安全审计工作。
限制
该技能强调扫描发现问题的同时需依赖专家思维判断优先级；实际脚本的具体输出、支持语言与检测范围，资料中暂未提供。具体收费、价格与平台支持情况，资料中暂未提供。