幻觉安全工作台

要解决的问题

安全知识零散、不成体系。安全工程师、开发、运维和合规学习者常面临几个具体痛点：

• 想学安全，但不知道从哪里入手，也没有清晰的学习路径。
• 服务上线前，不清楚该查什么，检查项是否覆盖关键风险。
• 被攻击或收到告警后，不知道怎么应急，第一步做什么、第二步做什么。
• 写代码时想防注入，但不确定用哪个安全 API、怎么改。
• 不确定合规边界在哪里，哪些测试是合法的、哪些越界。

本技能围绕「幻觉」这一主题展开，把上述问题拆成结构化方法论、模板和检查清单，而不是罗列工具或概念。

技能如何工作

五个核心能力

每个能力由特定触发词唤起，输入清晰，输出可直接使用：

• 安全测试方法论：触发词 渗透、测试、审计；输入授权目标范围，输出测试清单+边界声明。
• 风险自查：触发词 自查、加固、基线；输入资产+暴露面，输出基线检查表+整改项。
• 应急响应：触发词 应急、入侵、告警；输入事件现象，输出处置流程+止血动作。
• 安全编码：触发词 安全开发、防注入；输入语言+场景，输出反模式+修复示例。
• 合规边界：触发词 合规、合法、授权；输入场景，输出授权原则+红线。

三套工作流

上线前安全自查工作流：资产盘点 → 暴露面分析 → 配置检查 → 依赖漏洞扫描 → 加固与监控。常见卡点如「只测功能不盘暴露面」「密钥硬编码」，技能会给出自救方向。

入侵应急工作流：止血（隔离/下线/改密）→ 取证（保留日志与样本）→ 溯源（入口与影响范围）→ 清除（后门与持久化）→ 复盘（补洞+流程）。避免慌乱删证或盲目重启。

安全编码工作流：识别风险点 → 选安全 API → 密钥外置 → 最小权限与审计日志 → 静态扫描+依赖漏洞检查。

模板与量表

提供 Web 安全自查清单、授权测试声明模板、密钥与凭证管理清单三套可直接套用的输出模板。量表部分包含风险等级矩阵（可能性×影响，对应紧急/高/中/低处置时限）和漏洞严重度评级思路（严重/高危/中危/低危的典型条件与处置要求）。

适用边界与注意点

• 所有安全测试必须在书面授权范围内进行，技能只讲方法论与防御，不提供可用于实际入侵的 exploit 步骤。
• 不替代专业资质判断，不接入付费服务，不涉及任何外部账号或密钥，完全免费、零外部依赖。
• 输出物是结构化文档、模板或清单，需根据具体场景补充人群、场景、约束等信息后再落地使用。
• 发现漏洞应负责任披露，不利用、不传播。