合同安全合规工作台

要解决什么问题

在「合同」相关的上线、评审或合规讨论里，团队常遇到几类具体困境：不知道授权测试该覆盖哪些项、上线前缺少可执行的暴露面与配置检查表、出事时处置顺序混乱，以及开发侧对注入、越权、密钥硬编码没有统一评审口径。本技能不替代律师或资质认定，也不接入任何外部账号或付费 API，而是把安全方法论压成可直接套用的结构化交付物。

技能如何工作

听到对应触发词会进入五条能力之一，也可组合使用：

• 安全测试方法论（渗透 / 测试 / 审计）：输入已获书面授权的目标范围，产出测试清单与边界声明。
• 风险自查（自查 / 加固 / 基线）：输入资产与暴露面，产出基线检查表与整改项。
• 应急响应（应急 / 入侵 / 告警）：根据事件现象给出止血动作与处置流程（隔离、取证、溯源、清除、复盘）。
• 安全编码（安全开发 / 防注入）：按语言与场景给出反模式与修复示例。
• 合规边界（合规 / 合法 / 授权）：按场景说明授权原则与红线。

内置三条工作流可对照执行：上线前自查（资产→暴露面→配置→依赖→加固）、入侵应急（先止血再取证）、代码评审（风险点识别→安全 API→密钥外置→最小权限与审计）。输出侧包含 Web 自查清单、授权测试声明、密钥与凭证管理清单，以及风险等级矩阵与漏洞严重度处置思路。

适用边界与注意点

所有安全测试必须获得书面授权；技能不提供可用于实际入侵的 exploit 步骤，仅讲方法论与防御。发现漏洞应负责任披露。若结果不够贴合你的合同场景，在对应能力的输入里补充人群、场景与约束（例如系统边界、禁止项），输出会更精确。