前言¶
移動端 APP 上線前，團隊通常要面對幾類麻煩事：靜態代碼裏殘留的硬編碼密鑰和不安全調用，靠人工翻很難翻乾淨；上線後的真實網絡行爲（有沒有偷偷上傳敏感數據、有沒有訪問未授權接口）不去抓包就看不見；涉及第三方加固的包，想確認裏面有沒有夾帶風險代碼，普通掃描工具往往進不去；隱私合規要逐條覈對，漏洞要對着情報庫確認等級，最後還要出一份能交給內審的報告。靠腳本拼湊的方式，費時間且口徑不統一。
下面介紹的這個 Skill，就是把這幾件事收進一個一體化流程裏。
這是什麼¶
IDP移動應用深度安全檢測平臺是一個一體化的移動端 APP 自動化安全檢測系統，用於在 APP 上線前完成風險自查，而不是隻跑一次單一的掃描器。
它由迪璞環球科技（深圳）有限公司發佈維護，在 SkillHub 上座標爲 @org-81o8ldyx/idp-app-security-scan，當前版本 1.0.1，分類屬於 it-ops-security，來源標記爲 enterprise。SkillHub 頁面評分 100000，下載量 848，標籤裏帶 requires_api_key=true，說明調用前需要準備好對應的 API Key。
它解決的問題是：把靜態掃描、動態抓包、脫殼逆向、入侵預警、合規校驗這些分散的能力串成一條流水線，並統一輸出格式，讓開發、測試和內審看到的是同一份結論。
核心功能¶
按官方簡介，這個 Skill 集成了五類能力：
1、靜態代碼掃描：對 APP 源碼做靜態分析，覆蓋硬編碼憑證、不安全調用、常見漏洞模式等。
2、DAST 動態行爲抓包：在運行態抓取 APP 的真實網絡行爲，觀察請求去向和參數，而不是隻看靜態代碼推斷。
3、脫殼逆向分析：針對加了殼的 APP 做脫殼和逆向分析，使掃描能覆蓋到加固後的真實代碼。
4、入侵行爲預警：對檢測到的可疑行爲給出預警，便於在上線前攔截問題。
5、漏洞合規校驗：做漏洞確認與隱私合規校驗，並對接全球 NVD 漏洞情報庫用於漏洞比對和定級。
在這之上，平臺會自動生成標準化的安全檢測報告，報告口徑統一，可直接用於內部送審或留檔。
安裝與啓用¶
SkillHub 頁面給出的安裝方式是把這個 Skill 加到對應的 Agent 運行環境裏，座標是：
@org-81o8ldyx/idp-app-security-scan
這裏有一點需要如實說明：本次抓取中 SkillHub 頁面和接口地址都打不開，頁面上針對 Cursor、Codex CLI、Claude Code 各自的安裝命令與配置字段我沒有核實到。按現有資料，只能確認兩點：一是它遵循通用 SKILL.md 格式，按 SkillHub 的常規流程安裝即可；二是標籤裏帶 requires_api_key=true，啓用前需要先準備好平臺側提供的 API Key，具體字段名和填法建議在安裝後按平臺提示配置。
典型用法¶
按官方定位，這個 Skill 面向開發者、測試團隊和企業安全內審免費開放，官方建議的典型用法有三類：
1、APP 上線前風險自查：在發版流程裏跑一遍完整檢測，先靜態、再動態抓包、最後看預警和合規結論。
2、隱私合規檢測：針對 APP 的數據採集與傳輸行爲做合規校驗，把不合規的點提前列出來。
3、漏洞提前修復：用 NVD 情報庫對檢出項做比對，優先處理確認可利用的漏洞。
需要說明的是，上面是官方對適用場景的描述，不是可執行的腳本示例。具體怎麼提交樣本、怎麼指定掃描範圍、報告從哪裏取，頁面上沒有給出可復現的命令，建議啓用後在平臺內按引導操作。
適用場景與注意¶
適合誰：
- 需要在 APP 發版前做一輪完整安全檢測的移動端開發團隊。
- 負責測試、希望把安全檢查固化進測試流程的團隊。
- 需要標準化報告用於內部審計或合規留檔的企業安全內審。
平臺側還支持私有化部署與企業定製二次開發，適合不方便把樣本送出去的場景，具體怎麼部署需要和發佈方確認。
幾個要注意的點：
1、它需要 API Key，屬於有憑據要求的 Skill，用之前先把密鑰準備好。
2、評分 100000 是 SkillHub 頁面上的數值，屬於平臺側評分口徑，不代表檢測準確率，實際效果要拿自己的樣本驗證。
3、動態抓包和脫殼逆向對樣本環境有要求，打包方式、加固方案不同，覆蓋程度可能不一樣。
4、隱私合規的結論會隨法規版本變化，報告用於決策前建議再覈對一次現行要求。
5、本次抓取的頁面信息有限，命令和配置細節請以安裝後的官方說明爲準。
結尾¶
這個 Skill 的價值在於把移動端 APP 上線前的幾類安全檢查收進一條流水線，輸出一份口徑統一的報告，減少在多個工具之間來回拼結果的時間。如果團隊正在做發版前自查或隱私合規校驗，可以從官方地址瞭解一下：
https://www.skillhub.cn/skills/org-81o8ldyx/idp-app-security-scan
