安全防护基础

安全自查从哪里开始

新项目上线前，团队常面临几个具体痛点：数据库密码硬编码在代码里没人发现、Cookie 没设 HttpOnly 导致 XSS 可直接劫持会话、依赖的 npm 包存在已知高危 CVE 但无人知晓。安全扫描报告堆着几十条告警，却分不清哪些该今晚修、哪些可下周排期。更深层的问题是，安全加固缺乏一套系统方法论——每次要么靠经验零散补漏，要么等到出事再回头复盘。

按可执行步骤建立基线

这个技能的工作方式是五步闭环。先做资产识别，列出系统、数据与接口，按 CIA 三元组评估影响，避免“什么都重要等于什么都不重要”。接着对照 OWASP Top 10 逐项扫描，覆盖注入、XSS、SSRF、CSRF、认证失效、敏感数据暴露等高频问题，而不是漫无目的地跑扫描器。

进入加固阶段后，它聚焦三块关键能力。身份认证方面，强制密码长度 >=12 位并启用 MFA，会话 Cookie 设置 HttpOnly、Secure、SameSite 三件套，Token 需有明确的有效期与刷新策略，并配置账户锁定和速率限制来防暴力破解。基础设施方面，落实最小权限原则、网络安全组只开放必要端口、依赖项定期做 CVE 扫描，密钥绝不硬编码且定期轮换。组织层面则推动安全编码规范、代码审查中加入安全检查项、通过 Dependabot 或 Snyk 做自动扫描，并提前备好事件响应预案。

最终产出一份按 Critical / High / Medium / Low 分类的安全评估报告，附带修复优先级和具体验证方法，而不是丢给你一份“风险多多”的空泛结论。

适用边界

这个技能面向的是开发团队能自行消化的基础安全工作。它不适用于专业渗透测试、红蓝对抗或数字取证——这些需要专门的安全团队、工具链和授权环境。当你需要模拟攻击链、挖掘 0-day 或分析入侵痕迹时，请寻求专业安全服务介入。