Security Best Practices

核心用法

Security Best Practices 是一套面向开发团队的代码安全审查工作流，强调"secure-by-default"原则与务实可操作的修复路径。其核心工作模式包含四个阶段：

1. 范围界定与证据收集：在输出任何结论前，必须确认系统边界、技术栈上下文及威胁假设——无证据则无发现。
2. 基线化风险评估：针对认证授权边界、输入验证、密钥管理、依赖供应链、日志与错误处理五大维度进行系统化扫描，避免临时性的 ad-hoc 检查。
3. 可验证的发现输出：每个漏洞需包含严重等级、代码位置、证据片段、影响说明及最小修复方向，杜绝推测性结论。
4. 可利用性优先的修复：按"可达性-权限需求-爆炸半径-滥用难度"排序，优先处理高置信度、可实际利用的问题；修复时采用单问题单批次策略，确保小 diff、行为保留、测试覆盖。

显著优点

• 工程友好：拒绝"重写架构"式建议，专注最小化 diff 修复，降低安全工作在迭代中的摩擦成本
• 证据驱动：强制要求代码级证据，避免 CVSS 评分或合规清单的纸上谈兵
• 本地优先：审查历史与例外记录存储于本地 ~/security-best-practices/，默认零外泄
• 可审计的例外管理：明确的风险接受流程，支持带到期时间的例外登记

潜在局限

• 依赖人工上下文输入：技术栈、部署环境需用户主动提供，自动化程度有限
• 无实时漏洞情报：不集成 CVE 数据库或依赖扫描服务，需配合其他工具使用
• 修复保守主义："最小化变更"原则可能遗漏深层架构缺陷的根治机会
• 学习曲线：证据标准与严重度模型需要团队磨合

适合人群

• 需要集成安全审查到日常开发的工程团队
• 缺乏专职安全工程师的中小规模技术组织
• 对"安全报告洪水"感到疲劳、希望聚焦可行动项的技术负责人

常规风险

• 范围蠕变：用户可能期望该技能替代渗透测试或合规审计，实则定位为代码级辅助工具
• 例外累积：若例外登记缺乏治理，可能形成"永久例外"债务
• 过度自信：单次审查通过不代表系统安全，需建立持续回归验证机制

核心用法

Security Best Practices 是一款纯 Markdown 文档型 Skill，专为开发团队和安全工程师设计，提供结构化的代码安全审查能力。使用时，系统会引导用户确认审查范围（系统边界、技术栈、威胁模型），然后基于 review-playbook.md 中定义的六大安全基线（认证授权、输入验证、密钥管理、依赖安全、日志控制、错误处理）进行系统性扫描。所有发现均需附带具体代码证据（文件路径、行号、代码片段），并按 severity-model.md 的可利用性优先原则进行分级排序，最终输出包含最小化修复方向的可行动报告。

显著优点

该 Skill 的核心优势在于其方法论的专业性与落地的可操作性。区别于泛泛而谈的安全建议，它强制要求"无证据、无发现"，确保每个漏洞声明都可被团队验证和复现。其"可利用性优先"的评级策略（而非 CVSS 理论分数）帮助团队聚焦真实风险，避免关键漏洞被淹没在低优先级噪音中。修复阶段遵循"最小化改动"原则，优先小范围 diff 保留现有行为，降低安全修复的业务阻力。此外，纯文档架构带来极致的安全性——无可执行代码、无网络请求、数据仅本地存储，彻底杜绝 Skill 本身成为攻击向量的可能。

潜在缺点与局限性

作为纯文档型 Skill，其执行完全依赖人工介入，无法像自动化 SAST 工具那样直接扫描代码仓库并生成报告，对使用者的安全专业知识有一定要求。同时，其安全规则库（review-playbook.md、severity-model.md）的更新频率直接影响检测能力覆盖，新型攻击向量可能存在滞后。此外，Skill 不提供内置的 CI/CD 集成示例，团队需自行将审查流程嵌入开发流水线。对于追求"一键扫描"体验的用户，这种半自动模式可能显得繁琐。

适合的目标群体

主要面向三类用户：安全架构师（需要标准化团队审查流程）、技术负责人（希望建立可持续的安全左移实践）、以及有一定安全基础的开发者（进行自审或代码评审）。特别适合采用 DevSecOps 理念但尚未部署商业安全扫描工具的中小型团队，或需要为已有工具补充人工审查方法论的大型组织。不适合期待完全自动化、无安全背景即可使用的场景。

使用风险

尽管 Skill 本身安全等级极高（纯 Markdown、零网络通信、本地数据存储），仍需注意以下常规风险：其一，规则时效性，若长期未同步更新，可能遗漏新型漏洞模式；其二，人为执行偏差，不同使用者对"证据充分性"的理解差异可能导致审查质量波动；其三，修复验证缺失，Skill 建议的修复方案需配合项目自身的回归测试，Skill 本身不保证修复后的行为正确性。建议结合 auth、encryption 等相关 Skill 使用，并定期维护 exceptions.md 中的例外记录。