Security Scan Assistant

---
name: security-scan-assistant
source: ../../../../skills/security-scan-assistant/SKILL.md
source_version: 1.0.0
translation_version: 1.1.0
last_synced: 2026-08-17
status: current
description: |
  引導自動化安全掃描、相依套件稽核與機密偵測。
  Use when: 相依套件稽核、CVE 掃描、機密偵測、授權條款合規。
  Not for: 人工的威脅建模與安全設計審查——請用 /security；一般的程式碼整潔度——請用 /sweep。
  Keywords: scan, audit, CVE, dependency, secret, SBOM, vulnerability, 掃描, 稽核, 相依套件, 機密偵測.
---

# 安全掃描助手

> **語言**: [English](../../../../skills/security-scan-assistant/SKILL.md) | 繁體中文

自動化相依套件、機密資訊和授權合規的安全掃描。

## 掃描類型

| 類型 | 工具範例 | 用途 |
|------|----------|------|
| **相依套件審計** | npm audit, pip-audit, Snyk | 檢測已知 CVE |
| **機密偵測** | gitleaks, trufflehog | 偵測洩漏的憑證 |
| **授權合規** | license-checker, SPDX | 驗證開源授權相容性 |
| **SAST** | Semgrep, CodeQL | 靜態分析程式碼模式 |

## 工具整合

| 工具 | 指令 | 範圍 |
|------|------|------|
| npm audit | `npm audit --json` | Node.js 相依套件 |
| Snyk | `npx snyk test` | 多語言相依套件 |
| Trivy | `trivy fs .` | 檔案系統與容器 |
| gitleaks | `gitleaks detect` | Git 歷史機密 |
| SPDX | `npx spdx-tool` | 授權 SBOM 產出 |

## 嚴重程度分類與 SLA

| 嚴重程度 | SLA | 標準 |
|----------|-----|------|
| **Critical** | 24 小時 | 遠端執行、認證繞過、資料外洩 |
| **High** | 72 小時 | 權限提升、SQL 注入 |
| **Medium** | 2 週 | XSS、CSRF、資訊洩漏 |
| **Low** | 下個 Sprint | 缺少 Header、冗長錯誤訊息 |

## 工作流程

```
SCAN ──► TRIAGE ──► PRIORITIZE ──► FIX ──► VERIFY
```

## 使用方式

- `/scan` - 完整掃描（相依套件 + 機密 + 授權）
- `/scan --deps` - 僅相依套件審計
- `/scan --secrets` - 僅機密偵測
- `/scan --license` - 授權合規檢查

## 下一步引導

`/scan` 完成後，AI 助手應建議：

> **掃描完成。建議下一步：**
> - 執行 `/security` 深入安全審查
> - 執行 `/checkin` 確認修復符合提交規範
> - 執行 `/commit` 提交安全修復
> - 更新相依套件 → `npm update` 或 `pip install --upgrade`

## 參考

- 核心規範：[security-standards.md](../../../../core/security-standards.md)