企业知识库安全工作台

解决什么问题

安全工程师常面临这些具体困境：想入门安全却不知从何学起，上线前不清楚该查哪些项，面对合规要求时摸不清边界，被攻击时不知道应急流程，代码评审时拿不准哪些写法是反模式。这些问题的共同点是缺乏结构化方法论和可操作清单，导致安全工作要么凭经验猜测，要么流于表面检查。

技能如何工作

安全测试方法论：输入已授权的目标范围，直接输出测试清单和边界声明，明确哪些不能碰、时间窗如何限制。
风险自查：输入资产清单和暴露面信息，产出基线检查表，覆盖端口、接口、密钥、权限、日志等关键项，附带整改建议。
应急响应：输入告警或异常现象，给出先止血再溯源的处置流程，强调保全证据，避免慌乱删证或盲目重启。
安全编码：针对具体语言和场景，输出反模式示例和修复代码，例如 参数化查询 防注入、输出转义 防 XSS、密钥外置等实践。
合规边界：输入具体场景，明确授权原则和红线，确保所有操作在书面授权范围内。

三套工作流串联常见场景：上线前自查按资产盘点 → 暴露面分析 → 配置检查 → 依赖扫描 → 加固推进；入侵应急遵循止血 → 取证 → 溯源 → 清除 → 复盘；安全编码覆盖风险识别 → 安全 API 选择 → 密钥管理 → 权限控制 → 静态扫描。

适用边界与注意点

所有安全测试必须基于书面授权，明确目标、范围、时间窗和禁止项。技能不提供可用于实际入侵的 exploit 步骤，仅输出方法论和防御模板。发现漏洞需负责任披露，不利用、不传播。内容完全免费，不涉及任何外部服务或密钥依赖，所有输出均为结构化文档，可直接用于工作或学习。