用途：Security 是一套适用于所有处理用户数据、认证或外部输入代码的安全标准，旨在让安全成为默认实践而非事后补丁。它面向两类使用者：编写代码的构建者应先阅读 Builder Checklist；重构者可用 Enforced Rules 找出违规点，并阅读叙述章节获取修复指引。
核心原则：默认安全（Security by Design）、纵深防御、最小权限、安全失败、零信任、假设已被入侵。标准覆盖 OWASP Top 10（2021），包括失效访问控制、加密失败、注入、不安全设计、安全配置错误、脆弱组件、认证失败、完整性失败、日志失败与 SSRF。
主要能力：输入校验遵循“校验→清洗→按输出上下文编码”，要求使用参数化查询防 SQL 注入、用 textContent 防 XSS、用参数数组且 shell=False 防命令注入，并提供邮箱、用户名、URL 白名单等校验模式。认证方面要求密码至少 12 位、拦截常见与泄露密码，使用 bcrypt/Argon2/scrypt 存储，会话配置 cookie_secure、cookie_httponly、SameSite 与登录时重生成，且每个请求都做授权检查。数据保护按数据类型规定静态加密（密码哈希、PII/API 密钥 AES-256 等）与传输 TLS 1.2+，日志中掩码敏感字段。API 安全含按端点限流、CORS 指定来源、错误响应不泄露内部信息及安全响应头。密钥管理要求用环境变量或 Vault，明确轮换周期，并提供 .gitignore 清单。文件上传需校验大小、扩展名、魔术字节并生成 UUID 文件名、存于 Web 根目录外。日志记录安全事件但不记录密码、令牌、卡号等；附 Builder Checklist、Enforced Rules（no-document-write、no-hardcoded-secrets、no-innerHTML）、参考文档、清单模板与扫描脚本。
限制：具体工具集成方式、安装命令、版本兼容性与平台支持在资料中暂未提供。