前言¶
移动端 APP 上线前，团队通常要面对几类麻烦事：静态代码里残留的硬编码密钥和不安全调用，靠人工翻很难翻干净；上线后的真实网络行为（有没有偷偷上传敏感数据、有没有访问未授权接口）不去抓包就看不见；涉及第三方加固的包，想确认里面有没有夹带风险代码，普通扫描工具往往进不去；隐私合规要逐条核对，漏洞要对着情报库确认等级，最后还要出一份能交给内审的报告。靠脚本拼凑的方式，费时间且口径不统一。
下面介绍的这个 Skill，就是把这几件事收进一个一体化流程里。
这是什么¶
IDP移动应用深度安全检测平台是一个一体化的移动端 APP 自动化安全检测系统，用于在 APP 上线前完成风险自查，而不是只跑一次单一的扫描器。
它由迪璞环球科技（深圳）有限公司发布维护，在 SkillHub 上坐标为 @org-81o8ldyx/idp-app-security-scan，当前版本 1.0.1，分类属于 it-ops-security，来源标记为 enterprise。SkillHub 页面评分 100000，下载量 848，标签里带 requires_api_key=true，说明调用前需要准备好对应的 API Key。
它解决的问题是：把静态扫描、动态抓包、脱壳逆向、入侵预警、合规校验这些分散的能力串成一条流水线，并统一输出格式，让开发、测试和内审看到的是同一份结论。
核心功能¶
按官方简介，这个 Skill 集成了五类能力：
1、静态代码扫描：对 APP 源码做静态分析，覆盖硬编码凭证、不安全调用、常见漏洞模式等。
2、DAST 动态行为抓包：在运行态抓取 APP 的真实网络行为，观察请求去向和参数，而不是只看静态代码推断。
3、脱壳逆向分析：针对加了壳的 APP 做脱壳和逆向分析，使扫描能覆盖到加固后的真实代码。
4、入侵行为预警：对检测到的可疑行为给出预警，便于在上线前拦截问题。
5、漏洞合规校验：做漏洞确认与隐私合规校验，并对接全球 NVD 漏洞情报库用于漏洞比对和定级。
在这之上，平台会自动生成标准化的安全检测报告，报告口径统一，可直接用于内部送审或留档。
安装与启用¶
SkillHub 页面给出的安装方式是把这个 Skill 加到对应的 Agent 运行环境里，坐标是：
@org-81o8ldyx/idp-app-security-scan
这里有一点需要如实说明：本次抓取中 SkillHub 页面和接口地址都打不开，页面上针对 Cursor、Codex CLI、Claude Code 各自的安装命令与配置字段我没有核实到。按现有资料，只能确认两点：一是它遵循通用 SKILL.md 格式，按 SkillHub 的常规流程安装即可；二是标签里带 requires_api_key=true，启用前需要先准备好平台侧提供的 API Key，具体字段名和填法建议在安装后按平台提示配置。
典型用法¶
按官方定位，这个 Skill 面向开发者、测试团队和企业安全内审免费开放，官方建议的典型用法有三类：
1、APP 上线前风险自查：在发版流程里跑一遍完整检测，先静态、再动态抓包、最后看预警和合规结论。
2、隐私合规检测：针对 APP 的数据采集与传输行为做合规校验，把不合规的点提前列出来。
3、漏洞提前修复：用 NVD 情报库对检出项做比对，优先处理确认可利用的漏洞。
需要说明的是，上面是官方对适用场景的描述，不是可执行的脚本示例。具体怎么提交样本、怎么指定扫描范围、报告从哪里取，页面上没有给出可复现的命令，建议启用后在平台内按引导操作。
适用场景与注意¶
适合谁：
- 需要在 APP 发版前做一轮完整安全检测的移动端开发团队。
- 负责测试、希望把安全检查固化进测试流程的团队。
- 需要标准化报告用于内部审计或合规留档的企业安全内审。
平台侧还支持私有化部署与企业定制二次开发，适合不方便把样本送出去的场景，具体怎么部署需要和发布方确认。
几个要注意的点：
1、它需要 API Key，属于有凭据要求的 Skill，用之前先把密钥准备好。
2、评分 100000 是 SkillHub 页面上的数值，属于平台侧评分口径，不代表检测准确率，实际效果要拿自己的样本验证。
3、动态抓包和脱壳逆向对样本环境有要求，打包方式、加固方案不同，覆盖程度可能不一样。
4、隐私合规的结论会随法规版本变化，报告用于决策前建议再核对一次现行要求。
5、本次抓取的页面信息有限，命令和配置细节请以安装后的官方说明为准。
结尾¶
这个 Skill 的价值在于把移动端 APP 上线前的几类安全检查收进一条流水线，输出一份口径统一的报告，减少在多个工具之间来回拼结果的时间。如果团队正在做发版前自查或隐私合规校验，可以从官方地址了解一下：
https://www.skillhub.cn/skills/org-81o8ldyx/idp-app-security-scan
