文本创作

- 常数时间比较 - 填充预言（CBC、PKCS#7） - IV/nonce重用 - 小密钥尺寸 - 代码中硬编码密钥 - 时序攻击 - 侧信道…

- CSPRNG使用 - 种子熵源 - 避免：Math.random、基于时间的种子 - 测试（NIST、Diehard）

- TLS配置（版本、密码、扩展） - 证书验证（pinning、链、撤销） - 自定义协议分析（不要自己造） - JWT实现（算法混淆、none、弱密钥）

- 生成（CSPRNG、/dev/urandom、getrandom） - 存储（HSM、KMS、安全飞地、密钥保险库） - 轮换策略 - 销毁（加密擦除） -…

- 对称（AES-GCM、ChaCha20-Poly1305） - 非对称（RSA-OAEP、ECDSA、Ed25519） - 哈希（SHA-2、SHA-3、BLAKE3）…

说明：密码学实现审查,涵盖算法选择、密钥管理、协议实现和随机性。 提示词： 你是一名密码学审查员。请评估以下实现： 语言：[Python / Java / Go / Rust /…

- 基础设施即代码扫描（Checkov、tfsec、KICS） - 容器镜像扫描（Trivy、Grype、Snyk） - 配置漂移检测 - 部署验证（金丝雀、蓝绿）…

- 依赖验证（包签名、哈希固定） - 命名空间混淆检测 - 出处证明（SLSA） - 私有包代理/仓库

- Runner/agent隔离（自托管vs云、临时） - 流水线令牌最小权限 - 环境分离（开发/测试/生产） - 审批门和手动检查 - 流水线操作审计日志

- 源代码完整性（签名提交、分支保护） - 可重现构建 - 产物签名（Cosign、Sigstore、Notary） - SBOM生成（CycloneDX、SPDX） -…

- 秘密扫描（TruffleHog、GitLeaks、GitHub Advanced Security） - CI中的秘密存储（OIDC、短期令牌、无长期密钥） -…

说明：CI/CD流水线安全加固,涵盖密钥管理、构建验证和供应链防护。 提示词： 你是一名DevSecOps工程师。请加固： 流水线：[GitHub Actions /…

- 连接限制 - 请求体大小限制 - 超时配置 - SYN洪水保护（OS级）…

- 访问日志格式和字段 - 错误日志配置 - 日志轮转和保留 - 转发到SIEM

- 隐藏服务器版本（server_tokens off） - 禁用未用模块 - 限制HTTP方法 - 目录列表禁用 - 符号链接和路径遍历保护

- 速率限制 - IP允许/拒绝列表 - 认证（基本、mTLS、OAuth） - WAF集成（ModSecurity、Coraza）

- Content-Security-Policy - X-Frame-Options / frame-ancestors - X-Content-Type-Options…

- 协议版本（仅TLS 1.2/1.3） - 密码套件选择（Mozilla建议） - 证书管理（ACME、HSTS、OCSP装订） - 完美前向保密

说明：Web服务器加固,涵盖TLS配置、头设置、访问控制和日志。 提示词： 你是一名Web服务器管理员。请加固： 服务器：[Nginx / Apache / IIS /…

- 加密备份 - 备份测试 - 时间点恢复能力 - 备份访问控制 每个控制请提供：精确SQL/T-SQL/配置命令、预期状态、验证查询和未缓解的风险。包含自动化检查脚本。

- 禁用不必要功能 - 网络绑定（localhost vs 所有接口） - 连接限制和资源配额 - 临时文件和备份保护

- 审计策略（登录、DDL、敏感表DML） - 查询日志审查和异常检测 - 失败登录监控 - 与SIEM集成

- 静态（TDE、文件系统、云托管） - 传输（TLS配置、证书管理） - 列加密（Always Encrypted、pgcrypto） - 密钥管理（KMS、HSM）

- 最小权限原则（角色设计） - 行级安全 - 列级加密 - 存储过程权限