安全报告（Security Report）用于在安全报告输出时使用，适用于安全评审报告、漏洞汇总、风险等级评估与修复跟踪。其特点是融合 CVSS 评分、修复建议与验证确认，并强调报告面向决策者，首页应给出结论与风险等级。
适用场景包括：安全评审总结报告、漏洞汇总报告、合规审计报告、修复跟踪报告。
核心原则：一是报告给决策者看，首页有结论与风险等级；二是每个漏洞都要有修复建议，而不只是报告问题；三是采用 CVSS 进行风险分级，分为 Critical / High / Medium / Low；四是修复必须验证，修了不等于修好了；五是安全报告本身是敏感信息，不应泄露。
报告结构方面，摘要包含评审范围（系统/模块）、评审日期、发现总数、风险分布（Critical / High / Medium / Low 各多少）以及结论（可上线 / 需修复后上线 / 不可上线）。发现汇总以表格呈现编号、标题、严重度、状态、修复人。详细发现部分引用 vulnerability-report-template，每个漏洞单独使用该模板（模板具体内容暂未提供）。修复跟踪表包含编号、漏洞、修复方案、截止时间和验证状态。建议部分给出系统级建议与流程级建议。
CVSS 评分速查：9.0~10.0 为 Critical，含义是远程无认证利用或数据丢失；7.0~8.9 为 High，含义是认证后利用或部分数据；4.0~6.9 为 Medium，含义是需特定条件；0.1~3.9 为 Low，含义是信息泄露或边缘情况。
配套模板为 templates/security-report-template.md，即完整安全报告模板。
质量自检项包括：摘要有结论、风险分级采用 CVSS、每个发现有复现步骤、每个发现有修复建议、修复已验证、报告不泄露、提供 PM 可读版本。
常见坑包括：只列漏洞不给结论，导致决策者不知道能否上线；不分级，使所有漏洞看起来一样严重；不验证修复，以为修了实际没修；报告太技术，PM 看不懂；报告泄露，造成二次风险。
与其他技能的协作：上游为所有其他 security skills 汇总发现；下游为 project-manager 做风险决策、backend/frontend 进行修复、technical-writer 编写安全文档。