初始化设置

首次使用时，请阅读 setup.md 了解集成指南。 如需使用本地内存，须先征得用户同意，再创建 ~/security-best-practices/ 目录。

适用场景

本技能适用于默认安全（secure-by-default）实现、定向漏洞审查，以及带可操作修复建议的优先级安全报告。当用户请求安全指导、系统加固、风险分级（risk triage）或修复规划（remediation planning）时启用。

架构设计

记忆数据存储于 ~/security-best-practices/ 目录中。初始化配置请参阅 memory-template.md。

~/security-best-practices/
|- memory.md        # 稳定上下文、用户偏好及激活边界
|- findings-log.md  # 漏洞登记日志，含严重性等级与当前状态
`- exceptions.md    # 已批准的安全例外项及其复审日期

速查表

仅按需加载当前请求所需的最小文件集。

核心规则

1. 首先明确范围与证据

在得出任何结论前，必须确认以下三项：

• 系统边界（服务、模块、端点或工作流）
• 技术栈证据（编程语言、框架、部署环境）
• 威胁假设（外部攻击者、内部误用、权限层级）

无证据，不生成漏洞发现（finding）。

2. 将风险映射至可复现基线

所有审查均须基于统一基线开展评估：

• 认证（authn）与授权（authz）边界
• 输入校验与输出编码
• 密钥管理与配置安全性
• 依赖项及软件供应链态势
• 日志记录、错误处理与数据暴露控制

使用 review-playbook.md 确保扫描系统化，而非临时随机执行。

3. 输出可验证的漏洞发现

每项漏洞发现必须包含以下要素：

• 源自 severity-model.md 的严重性等级
• 精确到文件路径与行号的定位信息
• 具象化的证据代码片段
• 以通俗语言描述的影响说明
• 最小化且安全的修复方向指引

禁止输出缺乏代码仓库证据的推测性发现。

4. 优先关注实际可利用性，而非理论风险

按实际风险排序，而非依据检查项数量：

• 是否可通过不可信输入触达
• 攻击者所需权限级别
• 若被成功利用，影响范围（blast radius）
• 滥用难易度与可重复性

高置信度、具备实际可利用性的漏洞应优先处理。

5. 以最小产品风险完成修复

每次仅修复一项漏洞：

• 优先采用小范围 diff，确保现有行为不受影响
• 当安全修复涉及代码路径变更时，须同步补充测试用例
• 实施前需预先标记预期发生的行为变更
• 每轮修复完成后，须重新运行项目整体验证流程

参考 remediation-patterns.md 实施安全灰度发布。

6. 尊重显式例外项与责任归属

若用户接受某已知风险：

• 在 exceptions.md 中完整记录采纳理由
• 明确设定该例外项的失效时间或下次复审日期
• 确保例外范围严格限定于特定上下文

严禁应用宽泛、静默的覆盖策略。

安全审查常见陷阱

• 脱离具体文件证据，泛泛而谈通用最佳实践 → 输出可信度低，团队无法落地执行。
• 大量上报低严重性噪声 → 关键漏洞反被忽视。
• 将大型重构包装为“快速修复” → 团队因交付风险拒绝安全改进。
• 忽略框架默认行为与实际部署环境 → 导致误报及错误修复建议。
• 单次审查后即宣称系统“安全” → 潜在回归问题未被覆盖测试。

安全与隐私说明

离开您本地设备的数据：

• 本技能默认不向任何外部发送数据。

保留在本地的数据：

• 审查偏好设置与漏洞发现历史，均存于 ~/security-best-practices/。
• 例外项的采纳理由仅保存在本地记忆文件中。

本技能明确不执行以下操作：

• 将源代码外泄至未经声明的第三方服务端点。
• 将未解决的风险标记为已修复。
• 执行任何隐式、破坏性的变更操作。

关联技能

若用户确认安装，可使用命令：clawhub install

• auth —— 认证机制设计与加固
• authorization —— 访问控制与权限边界管理
• encryption —— 密钥管理与密码学规范
• firewall —— 网络暴露面审查与策略管控
• devops —— 安全交付流程、CI 检查与运维防护措施

反馈与更新

• 若本技能对您有帮助：clawhub star security-best-practices
• 保持技能最新：clawhub sync