用途：在 Next.js 前端与 FastAPI 后端中防止注入类攻击，与数据校验互补——校验判断数据形状与类型，本技能确保数据在其目标上下文（HTML、SQL、shell、URL）中安全。
主要能力：覆盖五类攻击向量。XSS 方面，React JSX 默认转义，但 dangerouslySetInnerHTML 需先用 DOMPurify 白名单清洗，href/src 需校验协议，并在 next.config.ts 配置 CSP 头。SQL 注入方面，使用 SQLAlchemy ORM 或 text() 绑定参数，禁止 f-string、.format()、% 拼接。命令注入方面，subprocess 使用列表形式，必要时用 shlex.quote，禁止 shell=True 配合用户输入与 os.system。URL 重定向方面，用白名单校验跳转目标。SSRF 方面，用 ipaddress 屏蔽私有网段（10/8、172.16/12、192.168/16、127/8、169.254/16）。
使用方式：在渲染用户内容、构造数据库查询、构建 shell 命令、处理 URL 参数或重定向、审查 OWASP Top 10 时应用。可用 rg 检测风险，如 rg "f['"].*SELECT|.format(.*SELECT|%.*SELECT" apps/backend/src/ 与 rg "os.system(|shell=True" apps/backend/src/。
适用场景：全栈注入防护审计、实现与代码评审。
限制：不负责数据形状校验、错误分类、认证/RBAC、CORS 与限流；清洗函数须为 O(n)，避免 ReDoS；服务端必须重新校验，不能只依赖客户端。资料未提供安装命令、收费与平台信息。