用途：该技能面向 Next.js Server Actions 的安全加固与审计，核心前提是每个 Server Action 都是公开的 POST 端点，打包器只隐藏名称、不隐藏契约，因此 action 必须默认失败关闭。
主要能力：覆盖六类威胁——端点可枚举、IDOR、CSRF/跨站、批量赋值、数据泄露、滥用（登录/支付/邀请无限流）。给出不可协商规则：在 action 体内做认证与授权（中间件/layout 不够）、失败关闭、不信任客户端 ID/字段、用 Zod 等 schema 做允许列表解析、返回最小化响应。
使用方式：在 action 内先 requireUser() 获取会话，用 schema 解析 FormData，重新加载资源并校验 ownership/tenant，区分 401 与 403，多租户 IDOR 优先统一返回 404。CSRF 方面保留 Next.js 的 Origin/Host 校验，反向代理下配置 serverActions.allowedOrigins（旧版为 experimental.serverActions），会话 Cookie 用 HttpOnly、Secure、SameSite=Lax/Strict。上传需服务端校验 mime/size 并存于 webroot 外；路径/URL 用允许列表。对登录、注册、邀请、支付、邮件等按 action+身份限流，金融类变更加幂等键，并用 serverActions.bodySizeLimit 限制体积。
适用场景：审计现有 actions、复查变更授权、部署前配置检查。
限制：资料未提供具体版本兼容细节、完整代码示例之外的实现步骤或效果数据；配置键需按仓库 Next 主版本调整。