用途：该技能用于在 Web 应用与基础设施中落地安全最佳实践，适用于新项目从设计阶段考虑安全、安全审计与漏洞修复、加固对外公开的 API，以及满足 GDPR、PCI-DSS 等合规要求。
主要能力：按步骤给出可执行做法。第一步强制 HTTPS 与安全响应头，使用 helmet 配置 CSP、HSTS，并用 express-rate-limit 做限流（普通接口 15 分钟 100 次，登录接口 15 分钟 5 次）。第二步输入校验，使用 Joi 校验邮箱、密码强度与名称，配合参数化查询防 SQL 注入、DOMPurify 做输出编码防 XSS。第三步用 csurf 与 cookie-parser 实现 CSRF 令牌的发放与校验。第四步密钥管理，通过 .env 与 Kubernetes Secret 存放数据库、JWT、第三方 API 密钥，禁止硬编码与提交。第五步 API 认证，采用短期访问令牌（15 分钟）加长期刷新令牌（7 天）并实现刷新令牌轮换。
使用方式：按上述步骤在 Express.js 项目中引入对应中间件与库，并参照 OWASP Top 10 清单逐项自查（访问控制、加密失败、注入、不安全设计、安全配置错误、易受攻击组件、认证失败、数据完整性失败、日志失败、SSRF）。
限制与约束：生产环境必须使用 HTTPS；密钥必须通过环境变量管理；所有用户输入必须校验；必须使用参数化查询与限流。禁止使用 eval()、禁止直接操作 innerHTML、禁止提交 .env 文件。资料未提供具体安装命令、价格与平台支持细节，兼容平台标注为 Claude、ChatGPT、Gemini，版本 1.0.0，最后更新 2025-01-01。