best-practices

用途：将现代 Web 开发最佳实践应用到项目中，覆盖安全、浏览器兼容性和代码质量三类模式，适合在要求“应用最佳实践”“安全审计”等场景下参考。主要能力：一是安全，包括全站 HTTPS 与避免混合内容、HSTS 头、通过 meta 或 HTTP 头配置 CSP 并用 nonce 允许内联脚本、X-Frame-Options、X-Content-Type-Options、Referrer-Policy、Permissions-Policy 等安全响应头；用 npm audit、yarn audit、npm audit fix 检查与修复依赖漏洞，避免原型污染等易受攻击写法，使用 textContent 或 DOMPurify 做输入净化，服务端设置 Secure、HttpOnly、SameSite 的 Cookie。二是兼容性，包括 HTML5 doctype、charset 置于 head 首位、viewport meta、特性检测而非浏览器检测、@supports 与按需 polyfill、避免 document.write 和同步 XHR 及已废弃的 Application Cache、touch/wheel 事件使用 passive 监听。三是代码质量与性能，包括正确处理错误与全局错误监听、ErrorBoundary、生产环境隐藏 source map、用 defer 与非阻塞方式加载资源、事件委托、移除监听以避免内存泄漏、语义化且合法的 HTML、保持图片宽高比，以及在合适时机、配合说明请求权限。用法：作为审查清单逐项核对安全、兼容、代码质量与 UX 条目，并结合所列工具（npm audit、SecurityHeaders.com、W3C Validator、Lighthouse、Observatory）执行检查。限制：资料未提供该技能的具体安装命令、费用、平台支持范围与授权信息，暂未提供。