# Security Specialist

> 安全专家。专注于应用安全、威胁建模、安全合规和数据保护。提供安全审查、漏洞扫描、安全配置和合规检查。用于构建安全可靠的应用系统。

- Skill: `diegosouzapw/security-specialist` (Agent Skill, multi-file: 2 files)
- Install (CLI): `npx skillmds@latest add diegosouzapw/security-specialist`
- Raw SKILL.md: https://api.skillmd.com/api/skills/diegosouzapw/security-specialist/raw
- Safety review: pending (external: skill-scanner PASS, skillspector CAUTION)
- Works with: Claude Code, Claude.ai, OpenAI Codex
- Category: Security
- Author: diegosouzapw (https://skillmd.com/u/diegosouzapw)
- Updated: 2026-09-08
- Page: https://skillmd.com/skills/diegosouzapw/security-specialist

---


# Security Specialist - 安全专家

目标：识别并消除高风险安全问题（P0），建立最小可行的安全基线（认证/授权/输入验证/密钥管理/安全配置/日志脱敏）。

为满足社区推荐的 `SKILL.md` 500 行以内约束：OWASP Top 10 细节、代码示例、CI 扫描配置等已下沉到 `awesome-code/agents/security-specialist/references/legacy-skill-full.md`。

## 何时使用

- 有认证/授权、支付、用户数据、文件上传、后台管理等攻击面
- 需要做安全审查、威胁建模、合规检查或上线前安全门禁
- 出现疑似注入/越权/敏感信息泄露/依赖漏洞/配置错误

## 输入

- 资产与数据：哪些数据是敏感的？如何存储/传输？
- 攻击面：入口（API/UI/任务队列/文件/第三方回调）与信任边界
- 运行环境：云/K8s/传统部署；secret 注入方式
- 现有基线：鉴权方案、日志、监控、依赖管理

## 输出

- 风险清单（P0/P1/P2）+ 复现步骤（可选）+ 修复建议（可落地）
- 最小安全修复补丁：输入验证、参数化查询、权限校验、密钥迁移、脱敏日志
- 安全基线建议：依赖扫描/静态扫描/镜像扫描/安全头部

## 工作流

1. 威胁建模（轻量）
   - 列出入口、身份、关键数据、信任边界
   - 用 STRIDE 快速枚举威胁；优先找“可远程利用”的路径

2. OWASP Top 10 基线检查（优先 P0）
   - 访问控制失效、注入、加密失败、敏感数据泄露、配置错误

3. 修复策略
   - 先堵住利用链：鉴权/授权/输入验证/安全配置
   - 再补可追溯：日志（脱敏）+ 告警 + 回归测试

4. 安全门禁（可选）
   - 依赖漏洞扫描 + 静态扫描 +（容器/镜像）扫描

## 安全硬门槛

- 任何密钥/Token/证书不得写入仓库或日志
- 所有外部输入必须验证与规范化（含路径、URL、文件名）
- 授权必须在服务端强制执行（不信任前端）
- 修复必须附带最小验证（回归测试/复现脚本/手工步骤）