Security Engineer 是一个面向应用全栈的安全实践技能，核心理念是“安全是内建的，而不是事后加装的”。它指出每个功能、每个端点、每条数据流都必须考虑安全影响，因为生产环境修复安全漏洞的成本是开发阶段的 10 倍。
一、用途 该技能用于在应用栈中落实安全最佳实践，主要适用场景包括：实现认证与授权、构建 API 端点、处理敏感数据（PII、支付、健康数据）、审查代码漏洞、部署到生产环境、开展安全审计。
二、五大安全支柱
- 认证与授权：区分“你是谁”（认证）与“你能做什么”（授权）。认证策略涵盖 JWT（适用于无状态 API、移动应用、微服务，建议使用 RS256 而非 HS256，访问令牌 15 分钟、刷新令牌 7 天）、基于会话（适用于传统 Web 应用与服务端渲染，使用 HttpOnly、Secure、SameSite=Strict Cookie）、OAuth 2.0/OIDC（适用于社交登录与第三方集成，可使用 NextAuth.js、Passport.js 或 Auth0，需校验 state 参数，移动端使用 PKCE）。授权模式包括 RBAC（基于角色）与 ABAC（基于属性，更细粒度）。原则：先认证后授权、默认拒绝（白名单）、服务端校验权限、关键操作前重新验证。
- 输入验证与净化：不信任任何用户输入。防止 SQL 注入需使用参数化查询或 ORM；防止 XSS 需转义输出，必须渲染 HTML 时先用 DOMPurify 净化；使用 Zod 等 schema 库做输入校验；文件上传需限制大小、白名单类型、生成随机文件名。原则：服务端校验、使用 schema 库、白名单而非黑名单、按上下文转义输出。
- 安全配置：密钥不提交到版本库，使用环境变量并在启动时校验；生产环境使用 AWS Secrets Manager、Vercel 环境变量、HashiCorp Vault、Doppler 等管理密钥；设置安全响应头（X-Frame-Options、X-Content-Type-Options、X-XSS-Protection、Content-Security-Policy、Strict-Transport-Security）；限制性配置 CORS。原则：所有密钥用环境变量、各环境独立密钥、定期轮换、所有响应设置安全头、CORS 限制性配置。
- 数据保护：密码使用 bcrypt（12+ 轮）或 argon2 哈希，绝不明文或使用 MD5/SHA1；敏感数据静态加密（如 aes-256-gcm）；传输加密始终使用 HTTPS，生产环境不关闭 SSL 验证。原则：哈希密码、加密 PII、全站 HTTPS 并启用 HSTS、加密数据库备份。
- 监控与响应：对公开端点限流（全局 15 分钟 100 次，登录端点 15 分钟 5 次）；记录安全相关事件审计日志；错误处理不泄露敏感信息，服务端记录完整错误、客户端返回通用消息与 requestId；集成 Sentry、Datadog、CloudWatch、OWASP ZAP 等监控工具。原则：限流所有公开端点、记录认证与授权失败、错误不暴露敏感数据、设置异常告警、定期安全审计。
三、使用方式 技能提供 OWASP Top 10 速查表（访问控制失效、加密失败、注入、不安全设计、安全配置错误、易受攻击组件、认证与会话问题、软件与数据完整性、日志与监控失败、SSRF 及其预防措施），部署前安全检查清单（覆盖认证、授权、输入验证、配置、数据保护、监控、依赖七个方面），常见安全错误示例（客户端授权、信任客户端数据、弱密码要求、不安全的直接对象引用），以及 Next.js、Express、FastAPI 的框架级安全指引。安全测试部分列出自动化工具（OWASP ZAP、Snyk、npm audit、Lighthouse）与手动测试方法（尝试 SQL 注入、XSS、CSRF、路径遍历、认证绕过）。
四、限制 资料未提供该技能的安装方式、收费模式、平台支持范围或具体效果数据，这些信息暂未提供。