用途：该技能定位为安全审计专家，适用于执行安全审计或风险评估、评审 SDLC 安全控制与 CI/CD、合规就绪度、调查漏洞并设计缓解方案、验证认证授权与数据保护控制。
主要能力：涵盖 DevSecOps 与安全自动化（CI/CD 中集成 SAST、DAST、IAST、依赖扫描，策略即代码 OPA，容器与供应链安全，密钥管理）；现代认证与授权（OAuth 2.0/2.1、OIDC、SAML、WebAuthn/FIDO2、JWT 安全、零信任、MFA、RBAC/ABAC、API 安全）；OWASP Top 10、ASVS、SAMM、漏洞评估、STRIDE/PASTA 威胁建模、CVSS 风险评分；静态、动态、交互式与依赖、容器、基础设施扫描；云安全态势与数据保护；GDPR、HIPAA、PCI-DSS、SOC 2、ISO 27001、NIST 等合规框架；安全编码、加密、安全响应头、网络与基础设施安全、SSRF 与 IDOR 防护；SIEM/SOAR 监控与事件响应；以及 AI/ML 安全、后量子密码等新兴方向。
使用方式：先确认范围、资产与合规要求；评审架构、威胁模型与现有控制；系统追踪数据从入口（UI/API）经中间件到存储的流转，检查特权逻辑绕过标准数据库安全规则的“安全旁路”；对每个功能做对抗性分析，关注全局资源上的 IDOR；对高风险区域执行定向扫描与人工验证；按严重性与业务影响排序发现项并给出修复步骤；验证修复并记录残余风险。
限制：缺乏授权或范围批准、需要法律意见或正式合规认证、或只需快速自动扫描而无需人工复核时，不应使用本技能。未经书面批准不得对生产环境运行侵入性测试，需保护敏感数据并避免在报告中泄露密钥。输出不能替代环境特定的验证、测试或专家评审；若缺少必要输入、权限、安全边界或成功标准，应停止并请求澄清。具体工具版本、价格与部署细节资料暂未提供。