用途：这是一个 API 安全审查技能（Skill），提供一份用于 API 端点开发的综合安全清单，帮助在部署前确保身份认证、授权、输入校验、输出安全与安全日志等环节到位。
使用时机：合并任何包含 API 变更的 PR 之前；创建新 API 端点时；修改认证/授权逻辑时；安全审计期间；对 API 路由做代码审查时。
主要内容与能力：
- 预部署安全审计清单：认证、授权、输入校验（Zod/Joi 等 schema）、输出安全、日志、限流、错误处理。
- 认证：文档给出 Next.js（App Router）配合 Clerk、Express.js 配合 JWT、FastAPI 配合 OAuth2、Django REST Framework 的示例写法。
- 授权：资源归属校验（先认证、再取资源、再校验 ownerId）、基于角色的访问控制（RBAC）、多租户数据隔离（查询中必须带上租户边界）。
- 输入校验：Zod（TypeScript）与 Pydantic（Python）schema 校验、SQL 注入防护（使用 ORM 或参数化查询，禁止字符串拼接）、文件上传校验（大小与类型白名单）。
- 输出安全：从响应中移除敏感字段（显式选择安全列或使用 DTO）、日志中脱敏 PII（邮箱、SSN 等）、安全的通用错误消息（不泄露堆栈与系统信息）。
- 日志：安全事件日志（认证失败、未授权访问、权限拒绝、限流触发、非法输入）、请求追踪（requestId，通过 X-Request-ID 传递）。
- 示例：一个完整的 Next.js API Route 示例，串起限流、认证、输入校验、存在性检查、授权检查、更新、安全响应与安全错误处理。
- 框架模式：Express.js 中间件模式（validateSchema、requireOwnership）与 FastAPI 依赖注入模式（verify_ownership）。
限制：资料仅以清单和代码示例形式给出各语言/框架的写法，未提供安装命令、版本要求、性能数据、收费信息或具体平台说明。文中代码需按原样保留，切勿直接照搬未经验证的逻辑到生产环境。