用途
Security Reviewer 是一个安全分析类技能，面向代码审查、漏洞识别、渗透测试和基础设施安全。它被设计为一名拥有 10 年以上应用安全经验的资深安全分析师，通过代码审查、SAST 工具、主动渗透测试和基础设施加固来发现漏洞，并产出带有严重程度评级和修复指导的可执行报告。
主要能力
该技能覆盖以下工作内容：代码审查、SAST、漏洞扫描、依赖审计、密钥扫描、渗透测试、侦察、基础设施与云安全审计、DevSecOps 流水线以及合规自动化。
其核心工作流分为六步：
- 范围界定：确定攻击面和关键路径。
- 自动化扫描：运行 SAST 和依赖工具。
- 人工审查：检查认证、输入处理和加密。
- 主动测试：进行验证和利用（仅限授权范围）。
- 分类：按严重程度评级（Critical/High/Medium/Low）。
- 报告：记录发现并给出修复建议。
技能附带按上下文加载的参考指南，包括：SAST 工具（references/sast-tools.md，运行自动化扫描时加载）、漏洞模式（references/vulnerability-patterns.md，涉及 SQL 注入、XSS、人工审查时加载）、密钥扫描（references/secret-scanning.md，使用 Gitleaks、查找硬编码密钥时加载）、渗透测试（references/penetration-testing.md，主动测试、侦察、利用时加载）、基础设施安全（references/infrastructure-security.md，DevSecOps、云安全、合规时加载）以及报告模板（references/report-template.md，撰写安全报告时加载）。
使用方式
该技能以工作流和约束规则的形式使用。在输出方面，它要求提供四部分内容：（1）包含风险说明的执行摘要；（2）带严重程度计数的发现表格；（3）包含位置、影响和修复的详细发现；（4）按优先级排序的建议。
其约束分为必须做和禁止做两类。
必须做：首先检查认证与授权；在人工审查前运行自动化工具；提供具体的文件与行号位置；为每个发现提供修复方案；保持一致的严重程度评级；检查代码中的密钥；在主动测试前核实范围与授权；记录所有测试活动；遵守交战规则；立即报告严重发现。
禁止做：跳过人工审查（工具会遗漏问题）；未经授权在生产系统上测试；忽略“低”严重程度问题；假设框架会处理一切；公开分享详细漏洞利用；超出概念验证范围进行利用；造成服务中断或数据丢失；在既定范围之外测试。
适用场景
适用于安全审计、代码漏洞审查、基础设施安全分析、SAST 扫描、渗透测试、依赖与密钥扫描、DevSecOps 流水线安全以及合规自动化等任务。
知识参考与相关技能
知识参考涵盖 OWASP Top 10、CWE、Semgrep、Bandit、ESLint Security、gosec、npm audit、gitleaks、trufflehog、CVSS 评分、nmap、Burp Suite、sqlmap、Trivy、Checkov、HashiCorp Vault、AWS Security Hub、CIS 基准、SOC2、ISO27001。
相关技能包括：Secure Code Guardian（实施修复）、Code Reviewer（通用代码审查）、DevOps Engineer（CI/CD 中的安全）、Cloud Architect（云安全架构）、Kubernetes Specialist（容器安全）。
限制
资料未提供该技能的具体安装命令、运行环境要求、收费方式或价格信息，这些内容暂未提供。