用途：在部署前、新增集成后或审查认证授权时，对 Web 应用与后端服务做安全配置审计，覆盖常见 OWASP 类漏洞。
主要能力：检查 CSP（default-src、script-src、object-src、frame-src 等）、安全响应头（HSTS、X-Frame-Options、X-Content-Type-Options、Referrer-Policy、Permissions-Policy）、Supabase 等行级安全（RLS）策略、输入净化（DOMPurify、长度限制、参数化查询）、认证会话与登出、环境变量与密钥暴露、依赖漏洞、CORS 白名单、Webhook 签名与幂等、限流。
使用方式：先定位安全相关文件，例如 grep -rn "Content-Security-Policy" --include=".html" --include=".tsx" --include=".jsx"；grep -rn "corsHeaders|Access-Control" --include=".ts" --include=".js"；find . -name ".sql" -path "/migrations/" | head -20。依赖检查可用 npm audit --production、npm audit fix --production、npm outdated。可按模板输出安全审计报告，并在 package.json 中加入 security:check 与 precommit:security 脚本。
适用场景：生产部署前、接入新服务（如 Stripe、分析、字体、嵌入）后、认证授权审查、漏洞排查。
限制：资料未提供具体平台支持范围、自动化程度、收费与价格信息；部分检查需结合项目实际配置人工判断。