turtle-harden 是 autumnsgrove/lattice 项目下的一个安全加固技能，主张“安全是设计出来的，而不是事后加装的”。它适用于新功能的安全设计、生产部署前检查、既有代码深度审计、认证实现后的加固，以及涉及用户输入、文件上传、敏感数据、多租户边界和外部服务交互的代码评审。
该技能以五个阶段推进：WITHDRAW 梳理攻击面，盘点入口点、出口点、数据流与技术栈特有风险；LAYER 施加基础防御，包括服务端输入校验、按语境输出编码、参数化查询、信任边界类型安全与统一错误处理；FORTIFY 做深度加固，涵盖 HTTP 头与 CSP、CORS、会话与 CSRF、限流、认证与授权、多租户隔离、文件上传、数据保护等；SIEGE 以攻击者视角检查原型污染、时序侧信道、竞态、ReDoS、SSRF、CRLF 注入、Unicode 攻击、反序列化、cache poisoning、开放重定向、供应链等 19 类非常规向量；SEAL 做纵深防御合规校验、日志监控检查、构建验证与安全扫描，并输出结构化加固报告。
用法上可通过 /turtle-harden 触发，或在提出“harden this”“security review”“defense in depth”等请求时启用。各阶段会按需加载 references/attack-surface.md、foundational-defenses.md、deep-defenses.md、exotic-vectors.md、verification-report.md 等参考文件。SEAL 阶段要求运行 pnpm install && gw ci --affected --fail-fast --diagnose 并执行 pnpm audit。技能还建议与 raccoon-audit（密钥扫描）、spider-weave（认证实现）、beaver-build（安全回归测试）等配合使用。
限制方面：资料未提供具体版本、价格、平台支持范围及独立安装方式；其检查项与代码模式明显面向 SvelteKit、Cloudflare Workers、D1、R2 等特定技术栈，其他环境可能需要调整；它强调不可跳过阶段和不可偷懒，但这属于方法论要求，实际效果暂未提供可验证的基准数据。