用途：为网页表单提供以安全为先的实现模式，兼顾密码管理器兼容性、常见攻击防护与用户数据保护。
主要能力：给出 autocomplete 属性常量表（身份、认证、联系方式、地址、支付、组织、日期等），并区分登录用 current-password、注册与重置用 new-password、2FA 用 one-time-code；提供密码、支付、地址表单示例与自检清单；包含 CSRF 令牌生成、写入与校验，以及双提交 Cookie 方案；提供 XSS 防护与基于 DOMPurify 的文本、HTML、URL 净化；还涉及 CSP 响应头、密码可见性切换、日志脱敏、HTTPS 强制、安全 Cookie 标志与速率限制。
使用方式：按示例在表单元素上设置对应属性；服务端生成并存储会话级 CSRF 令牌，客户端通过隐藏字段 _csrf 或请求头 X-CSRF-Token 提交，服务端中间件比对后再放行状态变更请求；需要渲染富文本时先净化。相关文件结构含 SKILL.md、references/autocomplete-spec.md、references/csrf-patterns.md 及 scripts 下的 autocomplete-config.ts、csrf-token.ts、sanitize.ts、secure-input.tsx。
适用场景：登录、注册、密码重置与修改、2FA 验证、支付结账、收货地址等表单页面。
限制：支付场景提示需符合 PCI DSS，建议使用 Stripe/Braintree；暂无关于具体框架版本、依赖安装命令与部署细节的说明，该类信息暂未提供。