code-abyss 1.5.1

package/skills/architecture/data-security.md

@@ -0,0 +1,184 @@
+---
+name: data-security
+description: 数据安全。加密、隐私保护、合规。当用户提到数据安全、加密、隐私、GDPR、合规时使用。
+---
+
+# 🏗 阵法秘典 · 数据安全
+
+
+## 数据分类
+
+```yaml
+公开数据:
+  - 公开信息
+  - 营销材料
+
+内部数据:
+  - 内部文档
+  - 业务数据
+
+机密数据:
+  - 客户信息
+  - 财务数据
+  - 商业秘密
+
+敏感数据:
+  - PII (个人身份信息)
+  - PHI (健康信息)
+  - 支付卡数据
+```
+
+## 加密
+
+### 传输加密
+```yaml
+TLS 配置:
+  - TLS 1.2+ (禁用 1.0/1.1)
+  - 强密码套件
+  - 证书管理
+  - HSTS
+
+推荐密码套件:
+  - TLS_AES_256_GCM_SHA384
+  - TLS_CHACHA20_POLY1305_SHA256
+  - ECDHE-RSA-AES256-GCM-SHA384
+```
+
+### 存储加密
+```python
+# 对称加密 (AES-256-GCM)
+from cryptography.hazmat.primitives.ciphers.aead import AESGCM
+import os
+
+key = os.urandom(32)  # 256-bit key
+nonce = os.urandom(12)
+aesgcm = AESGCM(key)
+
+ciphertext = aesgcm.encrypt(nonce, plaintext, associated_data)
+plaintext = aesgcm.decrypt(nonce, ciphertext, associated_data)
+```
+
+### 密钥管理
+```yaml
+原则:
+  - 密钥与数据分离
+  - 定期轮换
+  - 最小权限访问
+  - 审计日志
+
+方案:
+  - AWS KMS
+  - HashiCorp Vault
+  - Azure Key Vault
+```
+
+### 密码存储
+```python
+# 使用 bcrypt 或 argon2
+import bcrypt
+
+# 哈希
+password = b"user_password"
+salt = bcrypt.gensalt(rounds=12)
+hashed = bcrypt.hashpw(password, salt)
+
+# 验证
+bcrypt.checkpw(password, hashed)
+```
+
+## 隐私保护
+
+### 数据脱敏
+```python
+# 姓名脱敏
+def mask_name(name):
+    if len(name) <= 1:
+        return "*"
+    return name[0] + "*" * (len(name) - 1)
+
+# 手机号脱敏
+def mask_phone(phone):
+    return phone[:3] + "****" + phone[-4:]
+
+# 邮箱脱敏
+def mask_email(email):
+    local, domain = email.split("@")
+    return local[0] + "***@" + domain
+
+# 身份证脱敏
+def mask_id_card(id_card):
+    return id_card[:6] + "********" + id_card[-4:]
+```
+
+### 数据最小化
+```yaml
+原则:
+  - 只收集必要数据
+  - 限制保留期限
+  - 定期清理
+  - 匿名化/假名化
+```
+
+## 合规要求
+
+### GDPR
+```yaml
+核心要求:
+  - 合法性、公平性、透明性
+  - 目的限制
+  - 数据最小化
+  - 准确性
+  - 存储限制
+  - 完整性和保密性
+  - 问责制
+
+数据主体权利:
+  - 知情权
+  - 访问权
+  - 更正权
+  - 删除权 (被遗忘权)
+  - 限制处理权
+  - 数据可携带权
+  - 反对权
+```
+
+### 安全控制
+```yaml
+技术措施:
+  - 加密
+  - 访问控制
+  - 日志审计
+  - 数据备份
+
+组织措施:
+  - 安全政策
+  - 员工培训
+  - 事件响应
+  - 供应商管理
+```
+
+## 数据安全检查清单
+
+```yaml
+分类与发现:
+  - [ ] 数据资产清单
+  - [ ] 敏感数据识别
+  - [ ] 数据流映射
+
+保护:
+  - [ ] 传输加密
+  - [ ] 存储加密
+  - [ ] 访问控制
+  - [ ] 数据脱敏
+
+监控:
+  - [ ] 访问日志
+  - [ ] 异常检测
+  - [ ] DLP
+
+合规:
+  - [ ] 隐私政策
+  - [ ] 数据处理协议
+  - [ ] 事件响应计划
+```
+

package/skills/architecture/message-queue.md

@@ -0,0 +1,329 @@
+---
+name: message-queue
+description: 消息队列秘典。Kafka、RabbitMQ、Redis Streams、事件驱动架构。当用户提到消息队列、Kafka、RabbitMQ、事件驱动、CQRS、Saga时路由到此。
+---
+
+# 🏗 阵法秘典 · 消息队列
+
+
+## 核心概念
+
+```
+Producer → Broker → Consumer
+  发送       存储       消费
+  
+模式:
+  点对点 (Queue):  1 Producer → 1 Consumer
+  发布订阅 (Topic): 1 Producer → N Consumers
+```
+
+| 概念 | 含义 | 类比 |
+|------|------|------|
+| Producer | 消息生产者 | 发令者 |
+| Consumer | 消息消费者 | 执行者 |
+| Broker | 消息中间件 | 传令阵 |
+| Topic/Queue | 消息通道 | 传音符 |
+| Partition | 分区（并行单元） | 阵眼 |
+| Offset | 消费位置 | 修行进度 |
+
+---
+
+## Kafka
+
+### 架构
+
+```
+Producer ──→ Broker Cluster ──→ Consumer Group
+               │
+          ┌────┴────┐
+          │ Topic-A  │
+          │ P0 P1 P2 │  (3 Partitions)
+          └──────────┘
+          
+Replication: Leader + Followers
+ZooKeeper/KRaft: 元数据管理
+```
+
+### 生产者
+
+```python
+from confluent_kafka import Producer
+
+conf = {
+    'bootstrap.servers': 'kafka:9092',
+    'acks': 'all',                    # 等待所有副本确认
+    'retries': 3,
+    'retry.backoff.ms': 1000,
+    'enable.idempotence': True,       # 幂等生产者
+    'linger.ms': 5,                   # 批量发送延迟
+    'batch.size': 16384,              # 批量大小
+    'compression.type': 'snappy',     # 压缩
+}
+
+producer = Producer(conf)
+
+def delivery_report(err, msg):
+    if err:
+        print(f"Delivery failed: {err}")
+
+producer.produce(
+    topic='orders',
+    key=order_id.encode(),    # 相同 key → 相同 partition → 有序
+    value=json.dumps(order).encode(),
+    callback=delivery_report
+)
+producer.flush()
+```
+
+### 消费者
+
+```python
+from confluent_kafka import Consumer
+
+conf = {
+    'bootstrap.servers': 'kafka:9092',
+    'group.id': 'order-processor',
+    'auto.offset.reset': 'earliest',
+    'enable.auto.commit': False,      # 手动提交
+    'max.poll.interval.ms': 300000,
+}
+
+consumer = Consumer(conf)
+consumer.subscribe(['orders'])
+
+try:
+    while True:
+        msg = consumer.poll(1.0)
+        if msg is None:
+            continue
+        if msg.error():
+            handle_error(msg.error())
+            continue
+        
+        process_message(msg.value())
+        consumer.commit(asynchronous=False)  # 处理成功后提交
+finally:
+    consumer.close()
+```
+
+### Kafka 关键配置
+
+```yaml
+Broker:
+  num.partitions: 6                # 默认分区数
+  default.replication.factor: 3    # 副本数
+  min.insync.replicas: 2           # 最小同步副本
+  log.retention.hours: 168         # 保留 7 天
+  log.segment.bytes: 1073741824    # 1GB 段文件
+
+Topic 设计:
+  分区数 = max(生产吞吐/单分区写入能力, 消费者数)
+  副本数 = 3 (生产环境)
+  Key 选择: 业务ID (保证同一实体有序)
+```
+
+---
+
+## RabbitMQ
+
+### Exchange 类型
+
+| 类型 | 路由规则 | 适用场景 |
+|------|----------|----------|
+| Direct | 精确匹配 routing key | 点对点 |
+| Fanout | 广播到所有绑定队列 | 发布订阅 |
+| Topic | 通配符匹配 routing key | 灵活路由 |
+| Headers | 匹配消息头 | 复杂路由 |
+
+```
+Producer → Exchange → Binding → Queue → Consumer
+              │
+         routing_key 匹配
+```
+
+### 可靠性保证
+
+```yaml
+生产者:
+  - Publisher Confirms (确认模式)
+  - 持久化消息 (delivery_mode=2)
+  - 事务模式 (性能差，不推荐)
+
+Broker:
+  - 持久化队列 (durable=True)
+  - 镜像队列 / Quorum Queue
+  - 磁盘持久化
+
+消费者:
+  - 手动 ACK (auto_ack=False)
+  - 预取限制 (prefetch_count)
+  - 死信队列 (DLX) 处理失败消息
+```
+
+### 死信队列 (DLQ)
+
+```
+正常队列 ──(消费失败/TTL过期/队列满)──→ 死信交换机 → 死信队列
+                                                        │
+                                              人工处理 / 重试
+```
+
+---
+
+## Redis Streams
+
+```bash
+# 生产
+XADD orders * user_id "123" amount "99.99"
+
+# 消费组
+XGROUP CREATE orders order-group $ MKSTREAM
+XREADGROUP GROUP order-group consumer-1 COUNT 10 BLOCK 5000 STREAMS orders >
+
+# 确认
+XACK orders order-group <message-id>
+
+# 查看待处理
+XPENDING orders order-group
+```
+
+| 特性 | 适用 | 不适用 |
+|------|------|--------|
+| 轻量级 | 中小规模、低延迟 | 海量数据持久化 |
+| 消费组 | 多消费者并行 | 复杂路由 |
+| 内存存储 | 实时处理 | 长期存储 |
+
+---
+
+## 事件驱动架构
+
+### Event Sourcing
+
+```
+传统: 只存最终状态
+  Account { balance: 100 }
+
+Event Sourcing: 存储所有事件
+  AccountCreated { initial: 0 }
+  MoneyDeposited { amount: 200 }
+  MoneyWithdrawn { amount: 100 }
+  → 重放得到 balance: 100
+```
+
+### CQRS (Command Query Responsibility Segregation)
+
+```
+Command (写) ──→ Write Model ──→ Event Store
+                                    │
+                              Event Bus
+                                    │
+Query (读) ←── Read Model ←── Projection
+```
+
+### Saga 模式
+
+```
+分布式事务编排:
+
+Choreography (编舞):
+  Order → Payment → Inventory → Shipping
+    每个服务监听事件，自主决策
+
+Orchestration (编排):
+  Saga Orchestrator
+    ├→ Order Service: 创建订单
+    ├→ Payment Service: 扣款
+    ├→ Inventory Service: 扣库存
+    └→ Shipping Service: 发货
+    
+  失败补偿:
+    Shipping失败 → 补偿Inventory → 补偿Payment → 补偿Order
+```
+
+---
+
+## 选型对比
+
+| 维度 | Kafka | RabbitMQ | Redis Streams |
+|------|-------|----------|---------------|
+| 吞吐量 | 极高 (百万/s) | 高 (万/s) | 高 (十万/s) |
+| 延迟 | ms 级 | μs-ms 级 | μs 级 |
+| 持久化 | 磁盘 | 磁盘/内存 | 内存+AOF |
+| 消息顺序 | 分区内有序 | 队列内有序 | 流内有序 |
+| 消息回溯 | ✅ 支持 | ❌ 不支持 | ✅ 支持 |
+| 协议 | 自有协议 | AMQP | Redis协议 |
+| 适用 | 大数据/日志/流处理 | 业务消息/RPC | 轻量级实时 |
+
+### 选型决策树
+
+```
+需要消息回溯？
+  ├─ 是 → Kafka / Redis Streams
+  └─ 否 → 需要复杂路由？
+       ├─ 是 → RabbitMQ
+       └─ 否 → 吞吐量要求？
+            ├─ 极高 (>10万/s) → Kafka
+            ├─ 中等 → RabbitMQ
+            └─ 轻量 → Redis Streams
+```
+
+---
+
+## 常见问题
+
+### 消息丢失
+
+```yaml
+防丢三板斧:
+  生产端: acks=all + retries + 幂等
+  Broker: replication + 持久化 + min.insync.replicas
+  消费端: 手动提交 + 处理后确认
+```
+
+### 消息重复
+
+```yaml
+幂等处理:
+  - 数据库唯一约束 (message_id)
+  - Redis SETNX 去重
+  - 业务层幂等设计 (状态机)
+```
+
+### 消息积压
+
+```yaml
+应急:
+  - 增加消费者实例
+  - 临时扩大分区 (Kafka)
+  - 跳过非关键消息
+
+根治:
+  - 优化消费者处理速度
+  - 合理设置分区数
+  - 监控消费 lag 告警
+```
+
+---
+
+## 最佳实践
+
+```yaml
+设计:
+  - 消息体尽量小，大数据用引用
+  - 消息必须包含唯一ID和时间戳
+  - 定义清晰的消息 Schema (Avro/Protobuf)
+  - 版本兼容 (向后兼容)
+
+运维:
+  - 监控消费 lag
+  - 死信队列告警
+  - 定期清理过期消息
+  - 容量规划 (磁盘/内存)
+
+安全:
+  - TLS 加密传输
+  - SASL 认证
+  - ACL 授权
+  - 审计日志
+```
+

package/skills/architecture/security-arch.md

@@ -0,0 +1,210 @@
+---
+name: security-arch
+description: 安全架构设计。零信任、身份认证、威胁建模。当用户提到安全架构、零信任、IAM、身份认证、威胁建模时使用。
+---
+
+# 🏗 阵法秘典 · 安全架构设计
+
+
+## 零信任架构
+
+```
+┌─────────────────────────────────────────────────────────────┐
+│                    零信任原则                                │
+├─────────────────────────────────────────────────────────────┤
+│  1. 永不信任，始终验证                                       │
+│  2. 最小权限访问                                             │
+│  3. 假设已被入侵                                             │
+│  4. 显式验证每个请求                                         │
+│  5. 持续监控和验证                                           │
+└─────────────────────────────────────────────────────────────┘
+```
+
+### 核心组件
+```yaml
+身份验证:
+  - 多因素认证 (MFA)
+  - 单点登录 (SSO)
+  - 证书认证
+
+设备信任:
+  - 设备健康检查
+  - 端点检测响应 (EDR)
+  - 移动设备管理 (MDM)
+
+网络分段:
+  - 微分段
+  - 软件定义边界 (SDP)
+  - 网络访问控制
+
+数据保护:
+  - 加密传输/存储
+  - 数据分类
+  - DLP
+```
+
+## 身份与访问管理 (IAM)
+
+### 认证方式
+```yaml
+密码认证:
+  - 强密码策略
+  - 密码哈希 (bcrypt/argon2)
+  - 防暴力破解
+
+多因素认证:
+  - TOTP (Google Authenticator)
+  - FIDO2/WebAuthn
+  - 短信/邮件验证码
+
+单点登录:
+  - SAML 2.0
+  - OAuth 2.0 / OIDC
+  - Kerberos
+```
+
+### 授权模型
+```yaml
+RBAC (基于角色):
+  用户 → 角色 → 权限
+  示例:
+    - admin: [read, write, delete]
+    - editor: [read, write]
+    - viewer: [read]
+
+ABAC (基于属性):
+  策略 = f(主体属性, 资源属性, 环境属性)
+  示例:
+    - 部门=财务 AND 级别>=3 → 访问财务报表
+
+PBAC (基于策略):
+  使用策略语言定义复杂规则
+  示例: OPA/Rego
+```
+
+### JWT 最佳实践
+```yaml
+签名算法:
+  - 使用 RS256 或 ES256
+  - 避免 HS256 (共享密钥)
+  - 禁止 none 算法
+
+Token 管理:
+  - 短期访问令牌 (15分钟)
+  - 长期刷新令牌 (7天)
+  - 令牌轮换
+  - 黑名单机制
+
+Claims:
+  - iss: 签发者
+  - sub: 主题
+  - aud: 受众
+  - exp: 过期时间
+  - iat: 签发时间
+  - jti: 唯一标识
+```
+
+## 威胁建模
+
+### STRIDE 模型
+```yaml
+S - Spoofing (欺骗):
+  威胁: 冒充用户身份
+  缓解: 强认证、MFA
+
+T - Tampering (篡改):
+  威胁: 修改数据
+  缓解: 完整性校验、签名
+
+R - Repudiation (抵赖):
+  威胁: 否认操作
+  缓解: 审计日志、数字签名
+
+I - Information Disclosure (信息泄露):
+  威胁: 数据泄露
+  缓解: 加密、访问控制
+
+D - Denial of Service (拒绝服务):
+  威胁: 服务不可用
+  缓解: 限流、冗余
+
+E - Elevation of Privilege (权限提升):
+  威胁: 获取更高权限
+  缓解: 最小权限、输入验证
+```
+
+### 威胁建模流程
+```
+1. 识别资产
+   └─ 数据、服务、基础设施
+
+2. 绘制数据流图
+   └─ 信任边界、数据流向
+
+3. 识别威胁
+   └─ 使用 STRIDE 分析
+
+4. 评估风险
+   └─ 可能性 × 影响
+
+5. 制定缓解措施
+   └─ 技术控制、流程控制
+
+6. 验证和迭代
+   └─ 渗透测试、代码审计
+```
+
+## 安全设计原则
+
+```yaml
+纵深防御:
+  - 多层安全控制
+  - 单点失效不致命
+
+最小权限:
+  - 仅授予必要权限
+  - 定期审查权限
+
+安全默认:
+  - 默认拒绝
+  - 显式允许
+
+失败安全:
+  - 失败时拒绝访问
+  - 不泄露敏感信息
+
+分离职责:
+  - 关键操作需多人
+  - 开发/运维分离
+```
+
+## 安全架构检查清单
+
+```yaml
+认证:
+  - [ ] 实施 MFA
+  - [ ] 密码策略
+  - [ ] 会话管理
+  - [ ] 账户锁定
+
+授权:
+  - [ ] 最小权限
+  - [ ] RBAC/ABAC
+  - [ ] API 授权
+
+数据保护:
+  - [ ] 传输加密 (TLS)
+  - [ ] 存储加密
+  - [ ] 密钥管理
+
+日志审计:
+  - [ ] 安全事件日志
+  - [ ] 访问日志
+  - [ ] 日志保护
+
+网络:
+  - [ ] 网络分段
+  - [ ] 防火墙规则
+  - [ ] WAF
+```
+