用途：这是一个后端安全编码技能，用于在开发过程中获得安全编码实践、检查清单与可执行步骤，重点是把安全落到代码实现，而非做高层安全审计。
主要能力：涵盖输入校验与白名单、注入攻击（SQL/NoSQL/LDAP/命令）防护、安全错误处理与日志脱敏、敏感数据与密钥管理、输出编码；HTTP 安全头与 Cookie 安全（CSP、HSTS、X-Frame-Options、HttpOnly/Secure/SameSite、CORS、会话管理）；CSRF 防护（令牌、Origin/Referer 校验、双提交 Cookie）；数据库安全（参数化查询、权限分离、字段加密、审计日志、备份安全）；API 安全（JWT、OAuth 2.0/2.1、RBAC/ABAC、限流、版本管理、错误响应）；外部请求安全（白名单、SSRF 防护、超时与证书校验）；认证授权（MFA、bcrypt/Argon2 密码哈希、JWT 与 OAuth 安全）；日志监控与云/容器/密钥管理安全。
使用方式：在涉及后端安全编码任务或需要最佳实践与检查清单时使用；先明确目标、约束与所需输入，应用相关实践并验证结果，给出可执行步骤与验证方法；如需详细示例，可打开 resources/implementation-playbook.md。
适用场景：实现安全认证与令牌轮换、审查 API 端点注入风险、配置 CSRF 与安全响应头、编写参数化数据库查询、设计带白名单的外部服务集成等。
限制：不适用于与后端安全编码无关的任务，也不替代安全审计；高层审计、合规评估、DevSecOps 流水线设计、威胁建模、架构评审与渗透测试规划应使用 security-auditor。具体安装命令与平台支持信息暂未提供。