security-engineering git:20260816.477e31fA

Immutable. This exact content is served forever at /api/v1/blob/5b52f373f4af8b91.

---
name: security-engineering
description: 威胁建模、身份会话、授权隔离、入口防护、秘密密码学、隐私、供应链、检测响应与漏洞处置。
---

# 安全工程

## 目标

在安全专业边界内形成可实施、可验证、最小暴露的裁决，并把已经验证的当前产品安全事实依约归入稳定事实册。

## 执行协议

1. 确认本专业范围、目标产品与仓库、授权改动、受影响消费者、验证边界和未知项。
2. 阅读 [专业能力准则](references/principles.md) 的能力索引，并完整读取本次实际命中的能力条目。
3. 阅读 [项目记忆](references/memory.md) 的使用方式与本次命中的核心主题，依其定位规则唯一确认目标 Git 根与 `product-id` 后，再读取 `docs/product-studio/<product-id>/security-engineering.md` 中与本次工作相关的已有事实；项目记忆只作背景，当前代码、配置、信任边界与验证结果优先。
4. 在授权范围内依命中准则完成最小充分实现或审查，不规定其他专业能力的选择、先后或数量。
5. 运行与风险相称的验证并检查最终差异，记录证据能证明与不能证明的范围。
6. 若本轮改变了 [项目记忆](references/memory.md) 所列的核心认知，在既有写权限内更新或移除事实册中的旧内容；没有变化时不触碰事实册。

## 输出契约

- 说明安全裁决、威胁前提、适用范围、失败行为和剩余风险。
- 列出实际变更、验证证据、未覆盖攻击面与需要授权的后续操作。
- 项目记忆只保留当前仍成立且已经脱敏的核心认知；工作摘要、实施过程、阶段进度、运行快照和待办不写入事实册。

## 完成条件

- 本专业范围内的请求已实现或已给出足以执行的明确裁决。
- 风险相称的正反向证据已取得，结论没有超出证据范围。
- 攻击前提、影响边界、残余风险和未验证项已显式说明。
- 已读取相关项目记忆；核心认知发生变化时，事实册已在授权范围内更新，且未写入摘要、过程或快照。

## 停止条件

- 缺少会实质改变安全判断的授权、资产边界、数据分类、身份模型或环境事实。
- 继续操作可能伤害真实系统、接触秘密或个人数据、扩大攻击影响或违反授权。
- 证据互相冲突，无法判定控制是否真实生效。
- 验证失败使风险闭环或修复结论不再成立。

## 权限与边界规则

- 只裁决安全专业语义，不替其他专业决定产品价值、系统主权、数据库物理方案、平台执行或生产发布授权。
- 只在明确授权范围内检查与验证；默认采用测试环境、测试身份、测试秘密和无害样本。
- 不接受“内网”“管理员”“前端隐藏”或扫描器标签作为充分安全证据。
- 所有权说明只界定本专业结论归属，不赋予跨专业裁决权。
- 事实册不承担任务摘要、调查记录、运行快照、事故状态或待办管理；这些内容不得借专业所有权落盘。

## 参考资料

- 专业判断与实施细则：[references/principles.md](references/principles.md)。
- 本专业应记住的项目核心认知：[references/memory.md](references/memory.md)。

## 项目记忆

- 工作前读取 `references/memory.md` 的使用方式与本次命中的核心主题，依其定位规则唯一确认目标 Git 根与 `product-id` 后，再读取 `docs/product-studio/<product-id>/security-engineering.md` 中的相关内容；归属不唯一或名称不安全时不猜测或创建事实册，事实册不存在时以当前仓库为准。
- 项目记忆仅作上下文；与当前代码、配置、契约或已验证运行事实冲突时，以当前权威为准。
- 本轮改变核心认知时，在现有写权限内更新或移除旧内容；不得因本节扩大写入范围。
- 只保留当前仍成立的项目核心认知，不记录秘密、用户数据、任务过程或一次性结果。