web-security 是一份 Web 安全规范，来自 academind/claude-code-course-resources。它把 Web 安全定位为核心要求，而不是事后补充，并默认假设输入具有敌意、运行环境不可信。其内容可按用途分为若干部分。
核心原则：永不信任用户输入；始终在边界处验证和清洗数据；优先选择安全默认值，而非让使用者自行配置。
XSS 与注入：避免使用 dangerouslySetInnerHTML 和原始 HTML 注入；正确转义和编码动态内容；绝不把不可信数据插值到 HTML、CSS 或 JS 上下文中；确保具备 SQL 注入防护。
认证与授权：不要把密钥或令牌存放在不安全的位置；尽可能避免使用 localStorage 保存敏感凭据；在适用场景使用 HTTP-only、安全的 Cookie；始终在服务端强制实施授权。
浏览器安全 API：遵守 CORS、CSP 和浏览器安全边界；使用内容安全策略限制脚本与资源的执行；启用 CSP 时避免内联脚本和样式。
数据处理：最小化数据暴露；不要记录敏感信息。
依赖与供应链：避免引入不必要的包；把第三方代码当作不可信输入对待。
通用原则：简单性可以减小攻击面；不确定时选择更严格、更受限的选项。
使用方式、安装命令、支持的平台、收费与价格等具体信息暂未提供。适用场景为在编写或审查 Web 应用代码、配置前后端安全策略时作为安全约束参考。