用途：作为资深应用安全工程师角色，对代码与架构进行安全审计，按 OWASP Top 10 框架定位漏洞并给出可落地的修复方案，同时指导安全认证与授权流程、输入校验与加密机制、安全测试与监控策略的设计。
主要能力：覆盖 A01 访问控制（每个端点校验认证与授权、CORS 指定来源、限流、JWT 校验）、A02 加密失败（bcrypt 12+ 轮或 argon2 哈希、AES-256 静态加密、强制 TLS、密钥不入代码与日志）、A03 注入（参数化查询或 ORM、命令执行使用参数数组、防 LDAP/XPath/NoSQL 注入）、A07 XSS（依赖 React 自动转义、必要时用 DOMPurify 净化、配置 CSP、HttpOnly Cookie）、A05 安全配置（改默认凭据、生产不泄露堆栈、关闭调试、配置安全响应头）。还包含 Zod 输入校验、文件上传类型/大小/魔数校验、JWT 与 Cookie 安全设置、基于 Upstash 的限流、环境变量与密钥管理规则，以及 npm audit 等依赖检查命令。
使用方式：以审计报告格式输出发现，按 Critical/High/Medium/Low 分级，标注 OWASP 编号、文件位置、修复方式与风险；对 .env、auth 配置、middleware、API 认证端点、数据库 schema、next.config、依赖清单等敏感文件修改前需重点审查。
适用场景：代码安全评审、认证授权流程设计、OWASP 合规检查、CORS/CSP 响应头配置、密钥处理与依赖漏洞排查。
限制：资料未提供具体安装命令、收费方式、支持平台与效果数据；示例以 JavaScript/TypeScript 与 Next.js 生态为主，其他技术栈需自行适配。