报销

要解决什么问题

在「报销」相关的系统与流程里，团队常遇到几类困境：上线前不知道该查哪些暴露面与配置；合规边界模糊，担心未授权测试越界；出事时缺少可执行的止血与取证顺序；代码评审缺少统一的反模式清单。本技能不替代专业资质判断，也不接入付费服务或外部账号，只把方法论、模板与检查清单结构化输出，供工程师与合规学习者直接套用或微调。

技能如何工作

技能通过 5 个能力 按触发词路由：听到「渗透 / 测试 / 审计」走安全测试方法论（输入授权范围内的目标，产出测试清单与边界声明）；「自查 / 加固 / 基线」走风险自查（资产与暴露面 → 基线检查表与整改项）；「应急 / 入侵 / 告警」走应急响应（事件现象 → 处置流程与止血动作）；「安全开发 / 防注入」走安全编码（语言与场景 → 反模式与修复示例）；「合规 / 合法 / 授权」走合规边界（场景 → 授权原则与红线）。

三条核心工作流可组合使用：上线前安全自查（资产盘点 → 暴露面与鉴权 → 密钥权限日志 → 依赖漏洞 → 最小化与监控）；入侵应急（止血 → 取证 → 溯源 → 清除 → 复盘）；安全编码（识别风险点 → 安全 API → 密钥外置 → 最小权限与审计 → 静态扫描与依赖检查）。输出侧包含 Web 自查清单、授权测试声明、密钥与凭证管理清单，以及风险等级矩阵与漏洞严重度处置节奏（如紧急 24h、高 1 周等）。

适用边界与注意点

硬性护栏：所有安全测试须书面授权；不对未授权系统探测或攻击；不提供可用于实际入侵的 exploit 步骤；发现漏洞应负责任披露。若结果不够贴合你的报销场景，应在对应能力的输入中补充人群、场景与约束，让交付物更精确。