性能安全评估
输出为参考建议，评估结论由主理人确认后决策。
能力概述
对系统进行性能评估和安全评估两个维度的专业分析。
性能评估维度
| 指标 | 评估内容 | 参考标准（Web系统） |
|---|---|---|
| 响应时间 | 页面/接口加载时间 | <200ms（API）/ <2s（页面） |
| 并发能力 | 同时在线用户数、TPS | 根据业务规模定义 |
| 资源消耗 | CPU/内存/带宽/磁盘IO | CPU<70%、内存<80% |
| 数据库 | 查询效率、连接池、慢查询 | 单查询<100ms |
| 稳定性 | 长时间运行是否存在内存泄漏 | 7×24h无异常 |
安全评估维度
| 类别 | 检查项 | 说明 |
|---|---|---|
| 认证机制 | JWT/Session/OAuth实现是否正确 | Token过期、刷新机制、密码策略 |
| 权限控制 | 是否存在越权风险 | 水平越权、垂直越权 |
| 数据安全 | 敏感数据传输是否加密 | HTTPS、数据脱敏、加密存储 |
| Web漏洞 | OWASP Top 10 | XSS、CSRF、SQL注入、SSRF等 |
| 凭证安全 | API Key/Token是否暴露 | 前端硬编码、日志泄露 |
| 配置安全 | 默认配置、调试接口、信息泄露 | 关闭调试模式、错误信息脱敏 |
输入
- 系统架构方案：了解技术栈、部署架构
- 验收清单中的性能/安全指标：具体的目标值
- 测试用例中的性能/安全用例：待执行的测试场景
输出格式
性能评估报告
【性能指标】{指标名称}
【目标值】{架构方案中定义的指标}
【实测值】{评估结果}
【达标情况】✅达标 / ⚠️接近阈值 / ❌未达标
【分析】{根因分析}
【优化建议】{具体可操作的优化方向}
安全评估报告
【风险项】{风险名称}
【风险等级】🔴高危 / 🟡中危 / 🟢低危
【风险描述】{具体风险说明}
【影响范围】{受影响的模块或数据}
【修复建议】{具体可操作的修复方案}
【参考】OWASP / CVE编号（如有）
工作流程
- 解析架构方案：提取性能指标和安全要求
- 性能评估：分析响应时间、并发能力、资源消耗
- 安全评估：按OWASP Top 10逐项检查
- 风险分级：🔴高危/🟡中危/🟢低危三级
- 输出报告：性能达标表 + 安全风险矩阵