預生產安全稽核
產出一份有助於決策的指定版本安全評估。說明檢查了哪些項目、證據支持了什麼、仍有哪些未知，以及如何修復與驗證每個問題。報告預設使用英文，除非使用者要求其他語言。
僅使用目前主機可用的、已授權的能力。解析相對於此技能資料夾的綑綁引用。不假設本機檔案存取、Shell/掃描器、瀏覽、連接器與委派。當某項能力不可用時，審查提供的證據並記錄 U-### 缺口。如果無法寫入指定的檔案系統目的地，則以可下載的成品或 Markdown 文字形式提供報告，並說明該傳遞限制。
選擇檢查前先校準
- 識別要求的評估、目標版本或提交、部署目標、可用證據與現有授權。保留使用者的範疇與先前的回答。
- 閱讀範疇問題。如果尚未要求或明確包含儲存庫審查，請在檢查儲存庫內容前先解決 Q-00。要求稽核儲存庫或程式碼已回答了該問題；請勿再次詢問。如果使用者排除儲存庫審查，則從選定的文件/配置/執行階段證據進行工作，並記錄該限制。
- 僅檢查範圍內的專案元資料與文件，不執行專案程式碼。將事實與推論及使用者陳述分開記錄。提出一批簡短的未解決問題，並按產品、暴露、託管、身分、資料與可用存取進行分支。在等待期間繼續獨立授權的工作；沉默不等於解決了未解決的範疇選擇。
- 在報告中記錄範疇快照、選定的模組、適用的控制 ID、允許的檢查以及未解決的問題。當答案改變範疇時更新此快照。
路由至相關模組
始終使用稽核方法與發現事項與優先級。僅當其表面存在或需要調查時才載入模組詳細資訊。不要因為模組存在就載入所有模組。
使用35 領域覆蓋圖表將原始評估區域與控制 ID 相關聯。當工具輔助的檢查在範圍內時，遵循掃描器執行程序使用 Gitleaks、Semgrep CE、Trivy 與 ZAP；根據證據與可用性選擇工具，並記錄實際執行、錯誤與遺漏。僅手動的請求不會啟動掃描器。
對於相依性清單，首先重複使用與目標相符的 SBOM，如果需要且允許產生則使用 Trivy。本機套件圖表、Syft 與原始碼匯入分析為可選補充；遵循相同參考中的清單程序。將套件關係與程式碼匯入及執行階段關係分開。
| 表面 | 模組 | 路由指引 |
|---|---|---|
| 每次評估 | 架構 | 建立資產、信任邊界、關鍵動作、暴露與責任。 |
| 帳戶、權限、租戶、工作階段或服務身分 | 身分與存取 | 即使產品沒有登入，也包含基礎架構身分。 |
| 網頁介面、API、工作者、檔案或整合 | 應用程式與 API | 為實際的輸入、輸出、協定與業務路徑選擇控制。 |
| 資料、憑證、密碼學、資料庫或儲存 | 資料與機密 | 即使沒有個人資料，也包含憑證與元資料。 |
| 已部署的服務或計畫中的部署 | 基礎架構與部署 | 匹配提供者與部署模型；區分預期配置與觀察到的執行階段。 |
| 原始碼、相依性、建置或發佈流程 | 供應鏈 | 當包含儲存庫審查時，檢查發現的 CI/CD 定義、其腳本/模板、信任轉換與部署閘門，無需等待第二次權限問題。有效的平台設定仍然是獨立的證據來源。 |
| 正在進入或已在營運中的服務 | 營運與韌性 | 評估偵測、復原、事件處理、可用性與所有權。 |
| LLM、RAG、AI 工具、代理程式或 MCP | AI 與代理程式 | 審查模型輸入、資料存取、委派權限、輸出與資源限制。 |
| 行動、桌面或瀏覽器擴充功能用戶端 | 行動與桌面 | 選擇平台章節並分別稽核後端。 |
對於不支援的專業表面，例如工業設備或客製硬體，請記錄覆蓋範圍限制與所需的專家審查。不要暗示軟體模組能完全評估它們。
檢查並記錄
- 遵循稽核方法的證據、授權與執行規則。稽核請求授權分析與報告建立；它不會自動授權生產變更、破壞性探測或發布敏感結果。
- 儲存庫審查涵蓋已同意的檔案、原始碼路徑、清單、相關歷史與 CI/CD 定義。它包含硬編碼的機密、不安全的回退值、特定環境的目的地以及固定的安全/身分政策。遵守較窄的路徑/歷史排除；不要將沒有安全後果的普通常數標記為漏洞。
- 在進行工作時維護證據分類帳、控制矩陣、發現事項、未知事項、稽核路徑邊緣與相依性邊緣。將所有重要主張連結到確切的來源位置或觀察結果以及檢查的版本/環境。
- 將掃描器輸出視為線索，直到將其脈絡化。在指派確認的缺陷或版本後果之前，追蹤相關的呼叫者、防護機制、資料路徑、配置與部署假設。
- 在清單之後，套用供應鏈模組的重點當前公告分類 (SC-003)，優先處理關鍵元件以及已知被利用或關鍵/高嚴重性問題。記錄確切的套件/版本匹配、註明日期的來源、已驗證的修復、本機暴露與查詢覆蓋範圍；離線或失敗的查詢保持為明確的缺口。
- 在覆蓋範圍、發現事項、修復與圖表中使用相同的控制 ID。對具有相同根本原因的發現事項進行去重，同時保留受影響的表面。
- 對於長時間的審查，在支援時委派獨立的模組。為每個審查者提供範疇與 ID 分配，然後在撰寫報告前協調共享的信任邊界與衝突的主張。
- 如果存取或工具不可用，記錄限制並繼續有用的工作。失敗的檢查不等於通過的檢查。未知的控制不等於不適用。
交付報告
使用報告模板。預設以新檔案 security-audits/<YYYY-MM-DD>-<revision-or-target>/security-audit.md 儲存在被稽核的專案內，除非使用者指定其他目的地。如果該目的地已存在，則使用不衝突的後綴。不要將目標報告儲存在此技能內部、覆蓋先前的評估，或提交/上傳報告，除非被要求。
包含兩個必要的 Mermaid 圖表：
- 分析路徑圖： 從範疇與成品開始，經過執行的檢查，到發現事項、支援的結論與缺口，所產生的可觀察稽核軌跡。顯示檢查了什麼以及檢查在哪裡停止。這是一個證據地圖，不是私有推理或虛構的時間順序。
- 分析相依性圖： 檢查的元件、套件相依性、服務、身分系統、儲存與外部整合，帶有明確的邊類型、證據參考與檢查覆蓋範圍。將材料中未檢查的邊界如實標示。
使用稽核方法中的圖表合約，從分類帳構建圖表。包含節點/邊表格，以便報告在沒有 Mermaid 渲染的情況下仍然可用。將大型相依性地圖按執行階段/服務、套件/建置或 CI/CD 信任關係拆分到相依性章節下。對於審查過的管線，顯示觸發器/輸入 → 任務 → 執行者/身分 → 成品 → 環境，並區分實際閘門、信任邊界與未檢查的設定。
報告必須包含一個優先級修正計畫、負責人或未分配的角色、修復之間的相依性、驗收測試、殘餘風險與未解決的決策。使用發現規則陳述一個有邊界的準備就緒建議；此技能不會核准部署或認證合規性。
最終品質檢查
- 驗證範疇、修訂、證據連結、控制狀態以及所有發現/未知 ID 在文字、表格、圖表與計畫中一致。
- 檢查圖表邊的方向與標籤。清楚標示宣告、觀察到的行為、推論與不可用的證據。移除所有模板範例資料。
- 確保沒有不必要地揭露憑證、個人資料樣本、敏感提示內容或私有基礎架構識別符。
- 每個發現都需要具體的修正與驗證標準。每個關鍵未知都需要下一步行動及其對發布決策的影響。
- 說明哪些檢查實際執行、哪些失敗或跳過，以及圖表是已渲染還是僅進行語法審查。從未聲明未發生的測試、渲染或執行階段驗證。
- 簡潔地交付檔案位置、主要發布阻礙與覆蓋範圍限制。除非請求中已包含，否則將修復的實施留給授權的後續行動。