用途：在开发与运维过程中落实 Web 应用和基础设施的安全实践，适用于新项目从设计阶段引入安全、开展安全审计修复漏洞、加固对外可访问的 API，以及遵循 GDPR、PCI-DSS 等合规要求。兼容 Claude、ChatGPT、Gemini 平台，当前版本 1.0.0，关联 authentication-setup、deployment 等技能。
主要能力：一是强制 HTTPS 与安全响应头，使用 Express.js 的 helmet 中间件配置内容安全策略（CSP）、HSTS，并配合 express-rate-limit 做 DDoS 防护，对认证接口设置更严格的限流。二是输入校验，用 Joi 定义 schema 校验用户输入，并通过参数化查询防 SQL 注入、用 DOMPurify 等做输出编码防 XSS。三是 CSRF 防护，使用 csurf 与 cookie-parser 下发并校验 CSRF Token。四是密钥管理，通过 .env 环境变量或 Kubernetes Secret 管理数据库、JWT、API Key 等敏感信息。五是 API 认证，采用短时效访问令牌（15 分钟）加长效刷新令牌（7 天）并实现刷新令牌轮换。
使用方式：按技能的五个步骤依次实施——配置 HTTPS 与安全头、做输入校验、加 CSRF 防护、管理密钥、加固 API 认证；并对照 OWASP Top 10 检查清单逐项核验（A01 访问控制、A02 加密失败、A03 注入、A04 不安全设计、A05 安全配置错误、A06 组件漏洞、A07 认证失败、A08 数据完整性、A09 日志记录、A10 SSRF）。
约束与限制：强制要求生产环境使用 HTTPS、密钥必须通过环境变量而非硬编码、校验所有用户输入、使用参数化查询、启用限流；禁止使用 eval()、禁止直接操作 innerHTML、禁止提交 .env 文件。遵循最小权限、纵深防御与定期安全审计原则。技能本身未提供具体工具的安装命令或收费信息。