OPC 安全巡检助手

一人公司最容易漏掉的安全债

团队只有一个人时，安全往往被「上线后再说」挤掉。可一旦 HTTPS 证书过期、登录页暴露在错误配置下，或支付/注册链路缺少基本防护，直接影响的是用户信任、收款、注册转化和客服救火成本——而不是抽象的「合规分数」。

本技能面向 OPC（一人公司） 场景，做 防御型、轻量级 的公开面巡检：不跑渗透、不爆破、不绕过访问控制；目标资产未授权时会先确认归属。

技能如何完成一次巡检

工作流大致是：把目标规范成完整 URL（优先 https://），运行内置 Python 标准库 脚本做非侵入 HTTP/TLS 检查，并结合 references/risk-playbook.md 解读结果；需要正式交付时按 assets/report-template.md 组织报告。

脚本侧会看 DNS、HTTP→HTTPS 行为、TLS 过期、重定向链、常见安全响应头、Cookie 标志，以及 /robots.txt、/.well-known/security.txt、/sitemap.xml 等公开元数据端点。报告结构包括：执行摘要、资产画像、风险排序、带证据的发现、7 天单人修复计划、30 天成熟度计划与 复测清单。

优先级上更关注一人团队真正会疼的点：信任阻断（证书/混合内容/栈信息泄露）、客户数据暴露信号（Cookie、传输、可见的 CORS/调试端点——仅在你明确提供时）、账号与支付相关页面/路径、上线前硬ening（HSTS、CSP、点击劫持防护、security.txt），以及备份与依赖更新等运营习惯。严重度按 P0–P3 划分，每条发现写清「观察到什么、对 OPC 为何重要、最小改法、预估工时（如 15 分钟 / 半天 / 需服务商）」；你提供的仓库、部署说明或截图可触发 手动 enrichment（如 .env、Webhook、OAuth 回调、会话与管理员路由），但不会对未提供材料臆测外部事实。

适用边界

网络策略或 TLS 导致脚本失败时，会把失败本身当作证据并继续给出手动指引，而不是伪造扫描结果。缺一个响应头不会自动标成致命项——严重度会绑到可达功能、数据敏感度和单人可承受工作量；若需「 polished 报告」，可明确要求按模板输出。