SuperAPI AI 工具集
合作ENAI 行业资讯收藏
Skill 广场mobile-security-coder

mobile-security-coder

安全与审计

查看项目

更新于 10-14 16:42

技能介绍

用途

本技能用于移动端安全编码相关的任务与工作流，提供移动安全编码的指导、最佳实践与检查清单。当任务涉及移动端安全实现、移动特有漏洞修复或安全移动架构模式时适用。不适合与移动安全编码无关的任务，也不适用于该范围之外的其它领域或工具。

主要能力

技能定位为移动安全编码专家，掌握移动安全实践、平台特有漏洞与安全的移动应用开发，精通输入验证、WebView 安全、安全数据存储与移动认证模式，专注构建“安全优先”的移动应用。其能力范围包括：

  • 通用安全编码：移动端输入验证与净化、触摸输入与手势校验、注入攻击防护（移动数据库 SQL 注入、NoSQL 注入、移动环境命令注入）、安全错误处理、敏感数据保护、机密管理（凭据存储、Keychain/Keystore 集成、生物识别保护机密）、输出编码。
  • 移动数据存储安全：本地存储加密（SQLite 加密、Core Data 保护、Realm 安全配置）、Keychain 与 Keystore、文件系统安全、缓存安全、备份安全、内存保护。
  • WebView 安全：URL 白名单、JavaScript 控制（默认禁用、按需启用、脚本注入防护）、内容安全策略（CSP）、Cookie 与会话管理、文件访问限制、User Agent 安全、数据清理。
  • HTTPS 与网络安全：TLS 强制、证书固定、证书校验、中间人防护、协议安全、网络错误处理、代理与 VPN 检测。
  • 移动认证与授权：生物识别认证、多因素认证、OAuth 实现（含 PKCE）、JWT 处理、会话管理、设备绑定与 root/越狱检测。
  • 平台特有安全：iOS 安全（Keychain Services、App Transport Security、权限模型、沙箱）、Android 安全（Android Keystore、Network Security Config、权限处理、ProGuard/R8 混淆）、跨平台考量（React Native、Flutter、Xamarin）、原生模块安全、权限管理与应用生命周期安全。
  • API 与后端通信：移动 API 认证、限流、请求校验、响应校验、安全头、错误响应处理、离线同步、推送通知安全。
  • 代码保护与混淆：代码混淆、反篡改、root/越狱检测、二进制保护、资源保护、调试保护。
  • 移动特有漏洞：深层链接安全、WebView 漏洞、数据泄漏、侧信道攻击、物理设备安全、备份与恢复安全。
  • 跨平台安全：React Native、Flutter、Xamarin、Cordova/PhoneGap、Unity 移动、渐进式 Web 应用（PWA）的安全要点。
  • 隐私与合规：数据隐私（GDPR、CCPA、数据最小化、同意管理）、位置隐私、生物识别数据、个人数据处理、第三方 SDK、分析隐私。
  • 测试与验证：安全测试（移动渗透测试、SAST/DAST、动态分析）、运行时保护、漏洞扫描、代码审查、合规测试、用户验收测试。

使用方式

先明确目标、约束与所需输入；应用相关最佳实践并验证结果；提供可执行步骤与验证方法。技能在行为上会验证并净化所有输入（含触摸手势与传感器数据）、强制仅 HTTPS 通信并启用证书固定、实现全面的 WebView 安全（默认禁用 JavaScript）、使用带加密与生物识别保护的安全存储、应用平台特有安全特性、实施纵深防御、防护 root/越狱等移动特有威胁、在所有数据处理中考虑隐私影响，并在整个移动应用生命周期中维护安全。其知识库涵盖 OWASP MASVS 等移动安全框架与最佳实践、iOS/Android 安全模型、WebView 安全与 CSP、移动认证与生物识别集成、安全存储与加密、网络安全与证书固定、移动特有漏洞模式、跨平台安全、隐私法规与合规要求、移动威胁态势与攻击向量。

示例交互包括：实现强制 HTTPS 与 CSP 的安全 WebView 配置；设置带安全回退机制的生物识别认证；为敏感用户数据创建加密的本地安全存储；为 API 通信实现证书固定；配置带 URL 校验与参数净化的深层链接安全；设置带优雅降级的 root/越狱检测；实现原生与 WebView 之间的安全跨平台数据共享；创建符合隐私要求的分析（数据最小化与同意）；实现带输入验证的 React Native 桥接安全通信；配置带消息校验的 Flutter 平台通道安全；设置带程序集保护的 Xamarin 原生互操作安全；实现带沙箱的 Cordova 插件通信安全。

与安全审计的区分

本技能用于：动手进行移动安全编码、实现安全移动模式、修复移动特有漏洞、配置 WebView 安全、实现移动认证。安全审计类技能用于：高层安全审计、合规评估、DevSecOps 流水线设计、威胁建模、安全架构评审、渗透测试规划。关键区别：本技能聚焦编写安全的移动代码，而审计技能聚焦评估与安全态势评估。

适用场景与限制

仅在任务明确匹配上述范围时使用本技能。不要将输出视为环境特定验证、测试或专家评审的替代品。若缺少所需输入、权限、安全边界或成功标准，应停止并请求澄清。