secaudit-fortress — 代码安全审计堡垒

> Fused Skill = 静态漏洞猎手（张郃）⊕ 运行时护盾与合规加固（张杨 / yznocz）

描述 / Description

中文

一个面向开发者与企业的代码安全审计融合 Skill。把两个专长 Skill 合并为一：
1. 静态漏洞挖掘：多语言 AST、污点分析、危险函数调用图、依赖 CVE 比对；
2. 运行时与合规加固：SAST/DAST 归一化、容器/IAM/密钥审计、OWASP·CWE·PCI-DSS·等保 2.0
合规映射、自动修复、SARIF/HTML/PDF 报告、CVSS+EPSS 风险排序。

只需给出代码目录 / 仓库地址 / SBOM，即可输出可执行的修复清单与合规报告。

English

A fused code-security-audit Skill combining two specializations:
1. Static vulnerability hunting (multi-language AST, taint analysis, call graph,
dependency CVE matching);
2. Runtime & compliance hardening (SAST/DAST normalization, container / IAM / secret
audits, OWASP·CWE·PCI-DSS·GB/T 22239-2019 mapping, auto-remediation, SARIF/HTML/PDF
reporting, CVSS+EPSS prioritization).

Give it a code directory / repo / SBOM and get an actionable remediation list and
compliance report.

取名理由 / Naming Rationale

中文名：代码安全审计堡垒
English name：Code Security Audit Fortress

Why this name:
- "Fortress（堡垒）" = 把静态漏洞猎手（张郃）的"前置发现"能力与
运行时护盾（张杨 / yznocz）的"持续防御"能力合围成一堵完整的防线——
覆盖 SDLC 从编码、构建、部署到运行的全生命周期，故名"堡垒"。
- 前缀 secaudit- 明确表示"Security Audit"领域，便于 SkillHub 检索归类。
- 英文采用首字母大写单词拼接，符合 SkillHub / Anthropic Skill 的命名习惯，
可在 CLI 与 Agent 中作为稳定标识符直接引用。
- 中英文一一对应，无歧义、无商标冲突风险。

功能清单（≥15 + 15 = 30 项 / Capabilities）

静态漏洞猎手（Static Vulnerability Hunter）— 张郃

• 1. 多语言 AST 解析与语法树构建
• 2. 硬编码密钥 / API Token 扫描
• 3. SQL 注入模式识别
• 4. XSS 反射点追踪
• 5. 命令注入 / 代码注入检测
• 6. 路径穿越与任意文件读取
• 7. 反序列化漏洞检测
• 8. SSRF / 开放重定向识别
• 9. 依赖供应链 CVE 比对
• 10. 敏感数据明文存储检测
• 11. 权限 / 鉴权缺失分析
• 12. 并发竞态与 TOCTOU
• 13. 加密算法误用（弱 cipher / ECB / 固定 IV）
• 14. 污点分析（source -> sink 数据流）
• 15. 危险函数调用图谱（call graph）
• 16. 自定义规则热加载与误报抑制

运行时护盾与合规加固（Runtime Shield & Compliance）— 张杨 / yznocz

• 1. SAST / DAST 结果归一化聚合
• 2. 运行时行为监控（syscall / 网络 / 文件）
• 3. 容器镜像层漏洞扫描
• 4. IAM / RBAC 最小权限校验
• 5. 密钥与证书生命周期审计
• 6. 日志与审计追踪完整性检查
• 7. 合规性映射（OWASP / CWE / PCI-DSS / 等保 2.0）
• 8. 自动修复建议生成（带补丁骨架）
• 9. CI/CD 安全门禁（阻断阈值）
• 10. SBOM 生成与许可证合规
• 11. secrets 泄露历史提交扫描（git history）
• 12. API 安全测试（鉴权 / 限流 / 参数污染）
• 13. 威胁建模（STRIDE / 攻击树）
• 14. 安全基线配置核查（CIS Benchmark）
• 15. 报告导出（Markdown / HTML / SARIF / PDF）
• 16. 风险评分与优先级排序（CVSS + EPSS）

标准 I/O（Standard Input / Output）

输入（Input）

输出（Output）

统一返回 JSON，结构如下：

{
  "skill": "secaudit-fortress",
  "version": "1.0.0",
  "scan_id": "sha256:...",
  "summary": {
    "critical": 0, "high": 0, "medium": 0, "low": 0,
    "files_scanned": 0, "duration_ms": 0
  },
  "findings": [
    {
      "id": "SAST-0001",
      "cwe": "CWE-79",
      "severity": "high",
      "cvss": 7.4, "epss": 0.31,
      "file": "src/auth.py", "line": 42,
      "category": "xss",
      "evidence": "render(request.GET['q'])",
      "remediation": "使用模板自动转义或 markupsafe.escape()",
      "compliance": ["OWASP A03:2021", "等保 2.0 8.1.4.2"],
      "confidence": 0.92
    }
  ],
  "compliance": {"owasp": {"A03:2021": "fail"}, "dengbao2": {"8.1.4.2": "fail"}},
  "sbom": {"components": 0, "licenses": [], "cves": []},
  "report": {"markdown": "report.md", "html": "report.html", "sarif": "report.sarif"}
}

快速开始（Quick Start）

# 1) 仅审计当前目录，打印 JSON 摘要
python scripts/audit.py --target . --profile fast

# 2) 完整审计 + 生成全部报告
python scripts/audit.py --target ./myrepo --profile full --out ./report

# 3) 增量回归（对比上一次 SARIF 基线）
python scripts/audit.py --target . --baseline .sarif-baseline

# 4) 仅做密钥 / 合规 / 依赖检查
python scripts/audit.py --profile secrets
python scripts/audit.py --profile compliance --config '{"frameworks":["owasp","dengbao2"]}'

无依赖声明（Zero-Dependency Guarantee）

• Python ≥ 3.9，仅使用标准库：os / re / json / hashlib / ast / subprocess / zipfile / tarfile / html / urllib / argparse / dataclasses / pathlib / concurrent.futures。
• 不依赖 pip install 任何第三方包；不调用 requests / bandit / semgrep / node / docker。
• 若环境存在可选工具（git、trivy、syft），脚本会自动降级到纯标准库实现，结果仍可用。
• 所有规则、CWE/OWASP 映射表内置（见 references/），无需联网。

可复用性（Reusability）

• 模块化：scripts/ 每个能力为独立函数，可单独 import。
• Agent Skill 友好：遵循 Anthropic Skill 规范，SKILL.md frontmatter 可被 Agent 检索触发。
• CI/CD 门禁：非零退出码 + SARIF 输出，可直接接入 GitHub Actions / GitLab CI。
• 可扩展：通过 ruleset（YAML）热加载自定义规则，无需改代码。

文档（Documentation）

• README.md — 完整使用文档（本文件为精简版，详见 README.md）
• SKILL.md — Skill 元数据与触发说明（本文件）
• references/cwe_owasp_mapping.md — CWE ↔ OWASP ↔ 等保 映射表
• references/rules_schema.md — 自定义规则 YAML/JSON Schema
• assets/icon.png — Skill 图标（512×512）

© 2026 张郃 · 张杨 · yznocz。本 Skill 为融合产物，仅用于合法授权范围内的安全审计。