用途：作为 Web 应用安全编码指南，供 AI 助手在开发或审查 Web 应用时遵循安全最佳实践。核心原则包括纵深防御、安全失败（默认拒绝）、最小权限、服务端输入验证与按上下文的输出编码。
主要能力：
- 访问控制：要求每个需要鉴权的数据点和操作都做用户级授权，验证资源归属与组织成员身份，使用 UUID 而非顺序 ID，处理账号生命周期（移除成员时立即吊销令牌与会话），防范 IDOR、越权（水平/垂直）、批量赋值。
- 客户端漏洞：针对所有用户可控输入（直接与间接，如 URL 参数、片段、HTTP 头、WebSocket、postMessage、LocalStorage、SVG、Markdown）防御 XSS，采用上下文输出编码、CSP、DOMPurify 等库净化输入，并设置 X-Content-Type-Options、X-Frame-Options 等头。
- CSRF：所有状态变更端点需防护，使用随机令牌绑定会话、SameSite Cookie、双重提交 Cookie，覆盖登录、注册、密码重置、OAuth 回调等，JSON API 也需校验 Origin/Referer 与令牌。
- 密钥与敏感数据：禁止在前端暴露 API 密钥、数据库连接串、JWT 签名密钥、信用卡号、密码等，注意 JS bundle、source map、HTML 注释、隐藏字段、NEXT_PUBLIC_/REACT_APP_ 等泄漏点。
- 开放重定向：使用域名白名单或仅接受相对路径，防范 @、子域滥用、协议技巧、双重编码、反斜杠、空字节、Unicode 同形字、data:、协议相对等绕过。
- 密码：最少 8 位（推荐 12+），不限制字符类型，使用 Argon2id、bcrypt 或 scrypt 存储。
- SSRF：针对 webhook、URL 预览、PDF 生成等功能采用白名单、网络隔离，防范十进制/八进制/十六进制 IP、IPv6、DNS 重绑定、重定向链及云元数据端点（169.254.169.254 等）。
- 文件上传：校验扩展名、magic bytes、内容与大小，重命名文件、存于 webroot 之外、设置正确响应头、限制执行权限，防范双扩展名、MIME 伪造、polyglot、SVG 脚本、XXE、ZIP slip、ImageMagick 等。
- SQL 注入：以参数化查询为主，谨慎使用 ORM 原始方法，注意 ORDER BY、LIMIT、表名列名、LIKE 等无法参数化的注入点，配合最小权限与错误隐藏。
- XXE：处理用户提供的 XML 时禁用外部实体，覆盖 SOAP、XML-RPC、XML 上传、DOCX/XLSX 等场景。
使用方式：资料未提供具体安装命令或调用步骤，仅说明该技能用于在开发 Web 应用时启用。
适用场景：Web 应用开发、代码审查与安全加固。
限制：资料为通用安全指南，未提供针对具体语言或框架的完整实现代码；部分内容（如具体库版本、平台支持、收费）暂未提供。