安全审计专业版

交付级安全审计缺什么

多数团队上线前跑的"快速自查"，输出只是概览加 Top 5 高危项和修复方向。这类结果适合排查明显问题，但没法直接交给客户、用于合规审计或项目验收：漏洞只列 Top N，依赖里的 CVE 没人整理，硬编码密钥、缺少 CSP/HSTS 这类配置问题常被漏掉，也没有修复排期。等到需要留档交付时，往往要重新补做一遍完整审计。

这个技能做什么

@metago/metago-security-audit-pay 是面向交付场景的 OWASP Top 10 服务端深度审计：

• 完整漏洞详情：全部漏洞而非 Top N，每条含 OWASP 类别、位置、影响、CVE/CVSS 与修复方案
• 依赖漏洞清单：依赖名、当前版本、漏洞版本、CVE、CVSS 与建议版本
• 敏感信息检测表：硬编码密钥、日志泄露、明文凭证、Git 历史残留
• 安全配置检查表：HTTPS、CSP、HSTS、速率限制等基线
• 审计结论与排期：总体评级、合规状态，以及 Critical（24 小时）到 Low（下个版本）的修复时效建议

报告格式固定，相同输入输出结构一致，可直接存档。

使用边界

• 这是 AI 辅助静态分析，不替代真实渗透测试；运行时防护和动态扫描仍需专业工具与授权环境
• 未提供代码或项目说明时，技能会引导补充材料，而不是臆测输出
• 范围过大时建议分模块审计，只输出高风险概览
• "无高危"结论附有范围与假设说明，不等于绝对安全；关键漏洞建议人工复核
• 按次付费，通过 X402 协议由 weixinpay_pay 完成支付授权后再交付报告