组卷

解决什么问题

很多工程师想学安全，却不知从何下手；服务上线前，也说不清该检查哪些配置、密钥有没有硬编码、依赖里有没有已知漏洞。等告警真正响起，又常常先慌乱删日志、盲目重启，把内存态证据弄丢。@kunlungrowth/kunlun-paper-gen 把这些经验沉淀为可直接套用的结构化模板：输入你的目标信息，输出清单、流程和红线说明。

五项核心能力

• 安全测试方法论：输入 目标范围(授权)，输出测试清单与边界声明
• 风险自查：输入 资产+暴露面，输出基线检查表与整改项
• 应急响应：输入 事件现象，输出处置流程与止血动作
• 安全编码：输入 语言+场景，输出反模式与修复示例
• 合规边界：输入 场景，输出授权原则与红线

听到 渗透、自查、应急、合规 等触发词即进入对应能力，多个诉求可组合使用。

三套工作流

上线前自查：资产盘点 → 暴露面 → 配置 → 依赖 → 加固。常见卡点是只测功能忘了盘暴露面，或密钥直接写进代码。

入侵应急：先止血（隔离 / 下线 / 改密）→ 保全日志取证 → 溯源 → 清除持久化 → 复盘补洞。顺序不可颠倒，先删证再排查等于自我破坏。

安全编码：识别输入校验与鉴权风险 → 改用参数化查询、输出转义等安全 API → 密钥外置 → 最小权限与审计日志 → 静态扫描。

适用边界

只提供方法论、模板与检查清单，不含任何可直接用于入侵的 exploit 步骤，也不接入外部服务或密钥；所有测试必须在书面授权范围内进行，发现漏洞应负责任披露。它不替代专业资质判断，适合作为工程师日常的安全认知工作台。