defending-applications

# 应用安全防御 · 镇魔甲 > **开发侧防御秘典**：站在 builder 一侧，把漏洞挡在合并前。 > 不教渗透，只教"如何写出杀不动的代码"和"如何把已生漏洞最小代价闭环"。 > 信级：项目源码/lock 文件 > 框架官方安全文档 > CVE/CWE > 训练记忆（标 `[unverified]`）。 ## 路由 | 意图 | 加载 | 触发词 | |------|------|--------| | Web/API/GraphQL 漏洞防御 | [web-api-appsec](references/web-api-appsec.md) | XSS, SQLi, SSRF, BOLA, IDOR, Mass Assignment, GraphQL, 反序列化, 文件上传, 路径遍历, XXE, OWASP | | 认证授权与会话 | [oauth-and-sessions](references/oauth-and-sessions.md) | OAuth, OIDC, JWT, SSO, SAML, Session, Cookie, PKCE, refresh token, kid 注入 | | LLM 应用安全 | [llm-appsec](references/llm-appsec.md) | Prompt 注入, 越狱, 越权调用, RAG 投毒, agent tool 滥用, 输出过滤, jailbreak | ## 何时使用 | 场景 | 使用本 skill | 使用其他 | |------|--------------|----------| | review 自家代码、修 CVE、设计鉴权 | ✅ 本 skill | — | | 写 SAST 规则、Semgrep 模式 | ✅ 本 skill + securing-systems/code-audit | — | | 设计 LLM 应用的 guardrail | ✅ llm-appsec | + building-agent-systems/llm-security | | 红队渗透、写 PoC 攻击别人 | ❌ | securing-systems/pentest | | 处理已发生的入侵、日志取证 | ❌ | securing-systems/blue-team | | 容器/K8s/CI 加固 | ❌ | provisioning-infrastructure | | 设计零信任、身份架构 | 部分（OAuth/SSO 内） | architecting-security | ## 联动 - **securing-systems/code-audit**：本 skill 给"怎么修"，code-audit 给"怎么找"。 - **securing-systems/pentest**：攻方视角验证本 skill 的修复是否真正闭环。 - **analyzing-security**：自动化扫描胶水；本 skill 提供规则语义。 - **building-agent-systems/llm-security**：agent 内部细节；本 skill 关注应用边界。 - **designing-architectures**：威胁建模、API 设计；本 skill 关注落地代码。 ## 执行链 ``` 威胁建模 → 入口梳理 → source→sink 追踪 → 防御层选型 → 最小修复 → 回归测试 → 检测信号埋点 ``` 每个漏洞的修复必须...