Web Security 是一套面向 Web 开发的安全实践规范，其定位是把 Web 安全当作核心需求，而不是事后才考虑的问题。它要求开发者默认假设输入是恶意的、运行环境不可信，并据此组织开发行为。
用途 该规范用于指导 Web 应用在开发过程中规避常见安全漏洞，覆盖输入处理、注入防护、认证授权、浏览器安全机制、数据处理以及依赖管理等方面。它更像是一组必须遵守的约束和检查清单，而非某个可安装的软件工具。
主要能力与要求 核心原则方面，规范要求永不信任用户输入，始终在边界处验证和清理数据，并优先采用安全默认值而不是提供可配置项。
XSS 与注入方面，要求避免使用 dangerouslySetInnerHTML 和原始 HTML 注入，正确转义和编码动态内容，绝不把不可信数据插入 HTML、CSS 或 JS 上下文，并确保具备 SQL 注入防护。
认证与授权方面，要求不把密钥或令牌存放在不安全位置，尽量避免使用 localStorage 保存敏感凭据，在适用场景下使用 HTTP-only 的安全 Cookie，并始终在服务端强制执行授权。
浏览器安全 API 方面，要求遵守 CORS、CSP 以及浏览器安全边界，使用内容安全策略限制脚本和资源的执行，并在启用 CSP 时避免内联脚本和样式。
数据处理方面，要求最小化数据暴露，不记录敏感信息。
依赖与供应链方面，要求避免引入不必要的包，并把第三方代码视为不可信输入。
总体原则方面，强调简单性可以减少攻击面，遇到不确定的情况时选择更严格的选项。
使用方式 资料中未提供具体的安装命令、配置方式或代码示例，仅以原则和规则的形式给出安全要求。这些规则可被用作开发时的安全准则或审查依据。
适用场景 适用于需要处理用户输入、动态内容渲染、身份认证与授权、第三方依赖以及浏览器端脚本执行的 Web 开发项目，尤其适合希望将安全约束前置到开发流程中的团队。
限制 资料未说明该规范支持的具体语言、框架或平台，也未提供自动化检查、工具集成或强制执行的机制。其内容为原则性要求，实际落地方式需由使用者自行决定。