强化安全工程决策（Security Engineering）

【什么是这个 Skill】

这是一份面向 AI 编程 Agent 的结构化安全工程指南，涵盖架构设计、身份认证、合规规划和应急响应等核心领域。它不是代码扫描器，而是一套供 Agent 在设计阶段就能识别安全风险的思维框架和检查清单。

【核心能力】

• 纵深防御与零信任架构设计原则解读
• OAuth 2.0、OIDC、会话管理与 MFA 方案选型指导
• RBAC、ABAC、Policy-as-Code 授权模型对比与适用场景
• OWASP Top 10 缓解策略与安全测试方法速查
• 密钥管理、合规控制与事件响应阶段规划

【适用场景】

设计阶段安全审查：为新功能架构提供身份认证、数据保护、日志审计等方面的安全建议，避免后期修复成本。 威胁建模辅助：围绕访问控制、数据保护和应用常见风险，结构化地提出安全相关问题，帮助团队在开发前识别威胁面。 合规工作梳理：针对 SOC 2、HIPAA、PCI-DSS、GDPR、ISO 27001 等常见合规框架，识别需要覆盖的控制领域。

【使用限制】

本 Skill 不包含可运行的扫描器或自动化执行脚本，不替代受监管系统或真实安全事件的专业审计。提供的是通用模式，而非组织特定的控制映射。