技能介绍

很多团队的安全动作是零散的：依赖里报出 Log4j，临时跑一次 npm audit；生产环境改配置，没人回头看 robots.txt 或安全响应头；Git 历史里漏了 AWS_SECRET_ACCESS_KEY，直到扫描器提醒才发现。security-plus 想解决的不是“再造一个扫描器”，而是把 OWASP Top 10、SAST/DAST、依赖扫描、密钥检测、合规基线与加固清单整理成一条可执行的检查路径。

它覆盖什么

OWASP Top 10（2021）：按 A01 到 A10 组织风险，包括访问控制失效、加密失败、注入、不安全设计、安全配置错误、脆弱组件、认证失败、数据完整性、日志与监控不足、SSRF。
漏洞扫描：静态分析（SAST）、动态测试（DAST）和依赖项扫描分开看，避免把代码问题、运行时问题和供应链问题混成一张工单。
密钥检测：识别凭证、令牌和私钥类敏感信息，强调 pre-commit hooks、扫描工具和 secret patterns。
合规检查：对 GDPR、HIPAA、SOC2 做基础项梳理，而不是宣称自动取证。
安全加固：按 server、application、database 三层给加固方向。

在工程流程里怎么用

开发阶段先定义安全需求，做威胁建模，再按 secure coding guidelines 写代码；评审时把 Injection 对应到 A03:2021，用参数化查询缓解。
Broken Authentication 对应 A07:2021，缓解项是 MFA 和 secure session；XSS 对应 A03:2021，重点是输入校验与输出编码；SSRF 对应 A10:2021，用输入校验和 allowlists。
提交前接密钥检测，CI 里分别跑 SAST、DAST、依赖扫描；容器镜像用 Trivy/Clair，IaC 用 Checkov/tfsec。
部署清单关注 secure configuration、secrets in vault、HTTPS、security headers 和 logging；运行清单再看 monitoring、alerts、incident response plan、audits 和 backup testing。

适用边界

这个技能更像一份可渲染的工作手册：它给出类别、缓解项和工具参考，但不会替你判定业务上下文。合规项只能作为基础检查，不能替代法务或审计结论；扫描工具可能有噪音，误报仍需工程判断。SAST/DAST 需要接入现有 CI/CD，密钥扫描要覆盖 Git 历史和镜像层。Security Hardening 的默认值应按系统和合规等级裁剪，不能机械照搬。