H1d3r Security & Compliance Skill（for Agents）
适用场景
- 输入校验、鉴权鉴别、权限边界、加解密、凭证管理、日志脱敏
- 合规性相关的审计/输出规范任务
核心原则
- 敏感信息先行保护：任何 token、密钥、密码、PII 必须最小暴露。
- 默认拒绝：未授权访问默认拒绝，权限以最小权限原则设计。
- 验证优先：安全变更需有可验证审计点（日志与回放）。
强制执行清单
- 不在日志、报错、注释、测试里明文泄露敏感数据。
- 配置优先从 Secret 管理系统读取，不进源码仓库。
- 校验输入长度、类型、协议边界，防止注入与越权。
- 会话与鉴权 token 生命周期清晰（刷新、撤销、过期策略）。
- 出现安全异常必须可追踪（trace / request id / actor）。
推荐实践
- 使用集中鉴权中间件，不在业务逻辑重复实现。
- API 返回错误信息避免过度泄露内部实现细节。
- 对外请求默认走 allowlist，不用通配开权限。
- 定期做依赖漏洞扫描和基础权限审计。
常用质量门禁
- 安全扫描命令（如有）与依赖漏洞检查
- 静态分析规则（可疑命令/危险 API）
- 测试中的安全回归用例（未授权、越权、重放、注入）
- 日志中脱敏字段校验
反模式（避免）
- 将密码/密钥写在示例配置并提交。
- 捕获异常后返回统一 “error” 而不记录上下文。
- 统一返回过于详细数据库/堆栈信息。
- 权限判断只在前端做，后端缺少二次校验。
与仓库冲突时的优先级
- 以安全基线、合规要求、审计政策为最终约束。
- 与本文件冲突时，优先合规文本与组织安全 SOP 执行。