用途：用于前端安全编码实践，帮助开发者编写安全的前端代码，防止客户端攻击。适用于 XSS 防护实现、CSP 配置、安全 DOM 操作、客户端漏洞修复等动手编码任务；高层安全审计、合规评估、威胁建模等应改用安全审计类工具。
主要能力：输出处理与 XSS 防护（textContent 与 innerHTML 安全、DOMPurify 等净化库、上下文感知编码、模板安全、用户生成内容渲染）；内容安全策略（指令配置、nonce/hash、strict-dynamic、违规上报、渐进式部署）；输入校验与净化（白名单校验、安全正则与 ReDoS 防护、文件上传与 URL 校验）；CSS 处理安全（动态样式净化、CSS 注入防护、style-src 集成）；点击劫持防护（帧检测、frame-busting、X-Frame-Options、CSP frame-ancestors、SameSite Cookie）；安全重定向与导航（URL 白名单、开放重定向防护、rel="noopener noreferrer"）；认证与会话管理（令牌存储、会话超时、多标签同步、WebAuthn、OAuth PKCE）；浏览器安全特性（SRI、Trusted Types、Referrer Policy、跨源策略）；第三方集成与 PWA 安全。
使用方式：先明确目标、约束与所需输入，应用相关最佳实践并验证结果，给出可执行步骤与验证方法；如需详细示例，可打开 resources/implementation-playbook.md。
限制：点击劫持防护仅在生成环境或独立应用中启用，开发阶段嵌入 iframe 时应禁用或放宽。资料未提供具体安装命令、收费方式与平台支持信息。