用途：在 Next.js 前端与 FastAPI 后端中防止注入类攻击。与 data-validation（校验数据形状/类型）互补，本技能确保数据在其目标上下文（HTML、SQL、shell、URL）中安全。
主要能力：
- XSS：React 默认转义 JSX；dangerouslySetInnerHTML 需先用 DOMPurify 白名单清洗；href/src 需校验协议，拒绝 javascript:、data:；在 next.config.ts 配置 CSP 头。
- SQL 注入：使用 SQLAlchemy ORM 或 text() 绑定参数；禁止 f-string、.format()、% 拼接 SQL。检测命令：rg "f['"].*SELECT|.format(.*SELECT|%.*SELECT" apps/backend/src/
- 命令注入：subprocess 用列表形式，必要时用 shlex.quote；禁止 shell=True 拼接用户输入与 os.system。检测命令：rg "os.system(|shell=True" apps/backend/src/
- URL/重定向注入：用允许主机白名单校验重定向目标，前后端均需校验。
- SSRF：服务端请求前校验 URL，拒绝指向私有/内网网段的地址。
使用方式：在渲染用户内容、构造数据库查询、构建 shell 命令、处理 URL 参数或重定向、审查 OWASP Top 10 时应用。不适用于数据形状校验、错误分类、认证/RBAC 配置、CORS 与限流。
限制与注意：清洗函数须为 O(n)，避免递归正则或回溯导致 ReDoS；错误信息不得向不可信客户端泄露内部细节；客户端校验不可作为唯一防线，服务端必须重新校验与清洗。资料未提供安装命令、收费与平台信息。