把安全，
装进交付流程。

现状评估与路线图

先看代码仓库、分支策略、CI/CD、镜像仓库、Kubernetes 和发布流程，把问题分成「已经在做 / 缺失 / 只有形式」三类，再给一份按风险排序、可分阶段落地的路线图。不先采购工具。

流水线与安全门禁

在现有 CI（GitLab CI、GitHub Actions 或 Jenkins）里接入 SAST、SCA、Secret 扫描和镜像漏洞扫描。门禁区分阻断与告警：新问题阻断，存量问题限期清理，避免一上线就满屏红灯。

软件供应链

生成并归档 SBOM，锁定依赖与基础镜像版本，用 cosign 做镜像签名与验签，隔离构建环境与制品仓库。让「这个镜像从哪来、由什么构建」随时可以被回答。

基础设施即代码

用 Terraform、Helm、Kustomize 管理环境；用 Checkov / tfsec 扫描 IaC，用 OPA / Gatekeeper / Kyverno 做策略即代码。环境差异写在代码里，而不是留在某个人记得的步骤里。

Kubernetes 运行时

RBAC 最小权限、NetworkPolicy 分区、Pod Security Standards、Secrets 外置（External Secrets / Vault）、镜像准入控制与 Falco 运行时检测。集群从「能跑」到「知道谁在跑什么」。

运营与交接

为漏洞修复定 SLA，给门禁通过率、平均修复时间建指标与告警；写值班手册，做一次故障与回滚演练。最后把仓库、文档和权限一起交接，团队能自己往下走。

App Security

从设计到代码，找出真正能被利用的问题，并给出可落地的修法。

• 威胁建模与架构评审
• 认证、授权与会话（OIDC / JWT / RBAC）
• API 越权、注入与速率限制
• 依赖与软件供应链风险
• 移动端存储与传输安全
• 漏洞修复方案与复测建议

Cloud Security

把云上的默认配置收紧到与业务风险匹配的程度，而不是把开关全部关死。

• 云账号与 IAM 最小权限
• VPC、安全组与出口控制
• Kubernetes 与容器加固
• 密钥与配置管理
• 审计日志与告警接入
• 备份、恢复与演练

AI Security

在 LLM 功能上线前，先把提示词、数据边界和工具权限这三件事说清楚。

• LLM 应用威胁建模
• Prompt injection 与工具调用越权
• RAG 数据边界与租户隔离
• Agent 权限与人工确认点
• 模型与依赖供应链、版本锁定
• 输出过滤、审计日志与数据留存