security-review 是一个安全审查技能，用于确保代码遵循安全最佳实践并识别潜在漏洞。它适用于实现认证或授权、处理用户输入或文件上传、创建新 API 端点、处理密钥或凭据、实现支付功能、存储或传输敏感数据以及集成第三方 API 等场景。
主要能力覆盖以下检查项：密钥管理（禁止硬编码密钥，使用环境变量并验证其存在，.env.local 加入 .gitignore，生产密钥放在托管平台）；输入验证（使用 zod 等 schema 校验用户输入，限制文件上传的大小、类型与扩展名，采用白名单而非黑名单，错误信息不泄露敏感内容）；SQL 注入防护（禁止拼接 SQL，使用参数化查询或 ORM/查询构建器）；认证与授权（令牌存入 httpOnly Cookie 而非 localStorage，敏感操作前校验权限，Supabase 启用行级安全 RLS 并实现基于角色的访问控制）；XSS 防护（用 DOMPurify 清理用户 HTML，配置 CSP 头）；CSRF 防护（状态变更操作校验 CSRF 令牌，Cookie 设置 SameSite=Strict）；速率限制（对所有 API 端点限流，对昂贵操作更严格）；敏感数据暴露（日志与错误信息中不包含密码、令牌、密钥，不向用户暴露堆栈跟踪）；区块链安全（Solana 钱包签名验证、交易接收方与金额校验、余额检查）；依赖安全（npm audit、npm audit fix、npm update、npm outdated，提交锁文件并在 CI/CD 中使用 npm ci）。
使用方式为在相关开发场景中激活该技能，按清单逐项核查，并可通过自动化安全测试验证认证、授权、输入校验与限流行为。部署前需完成安全清单检查，包括 HTTPS、安全响应头、CORS 配置等。限制方面，资料未提供该技能的安装命令、具体平台支持范围或收费信息。