用途：在新建项目、安全审计、公开 API 加固和合规（如 GDPR、PCI-DSS）场景中，按步骤落实 Web 应用与基础设施的安全最佳实践。
主要能力：
- 强制 HTTPS 与安全响应头：使用 helmet 设置 CSP、HSTS 等；生产环境将非安全请求 301 重定向到 HTTPS。
- 速率限制：用 express-rate-limit 防 DDoS，对 /api/ 设通用限制，对登录等认证端点设更严格限制。
- 输入校验：用 Joi 校验请求体，配合参数化查询防 SQL 注入，用 DOMPurify 做输出编码防 XSS。
- CSRF 防护：用 csurf 与 cookie-parser 提供并校验 CSRF Token。
- 密钥管理：通过环境变量或 Kubernetes Secret 管理数据库、JWT、API Key，禁止硬编码与提交 .env。
- API 认证：JWT 短期访问令牌（15 分钟）加长期刷新令牌（7 天），刷新令牌轮换并在每次使用后失效旧令牌。
使用方式：按技能给出的五个步骤依次实施，示例基于 Express.js、Joi、helmet、express-rate-limit、csurf、jsonwebtoken 等。
约束：生产必须 HTTPS；密钥必须走环境变量；所有用户输入必须校验；必须使用参数化查询；必须限流。禁止使用 eval()、禁止直接 innerHTML、禁止提交密钥文件。
适用场景：新项目安全设计、安全审计与漏洞修复、对外 API 加固、合规检查。
限制：资料未提供具体安装命令、价格、平台支持细节与效果数据；兼容平台标注为 Claude、ChatGPT、Gemini，版本 1.0.0，最后更新 2025-01-01。