用途：该技能面向 AI 代理的安全代码与配置审查，用于理解攻击面、发现潜在漏洞并按风险排序，强调“假设已被入侵、零信任、纵深防御、最小权限、失败即拒绝”等原则。
主要能力：覆盖 OWASP Top 10:2025 十类风险，包括访问控制、安全配置错误、软件供应链（新增）、加密失败、注入、不安全设计、认证失败、完整性失败、日志与告警、异常条件（新增）；提供供应链安全、攻击面映射、CVSS+EPSS 风险优先级、云安全共享责任与代码高危模式/密钥模式分析，并给出报告结构建议（描述、位置、原因、影响、修复）。
使用方式：技能内含参考文件 checklists.md（OWASP、认证、API、数据保护清单）。运行时脚本示例：python scripts/security_scan.py <project_path>，用于自动化校验安全原则。扫描建议分四阶段：侦察、发现、分析、报告。
适用场景：代码库、API、云配置与依赖的防御性安全审查，适合开发、运维与安全人员在 CI/CD 前或持续扫描中使用。
限制：资料未提供具体支持语言、平台版本、检测规则数量、准确率、收费或价格信息；效果依赖使用者的威胁建模与人工验证。请仅用于授权测试，未提供使用许可与合规说明。