security-and-hardening

用途：该技能提供一套“安全即约束”的开发规范，用于在编写任何涉及用户数据、认证或外部系统的代码时抵御漏洞，覆盖构建接受用户输入、实现认证授权、存储或传输敏感数据、集成外部 API、添加文件上传/Webhook/回调、处理支付或 PII 数据等场景。主要能力：给出三层边界制度——始终执行（边界处校验所有外部输入、参数化数据库查询、输出编码防 XSS、全站 HTTPS、bcrypt/scrypt/argon2 哈希密码、设置 CSP/HSTS/X-Frame-Options/X-Content-Type-Options 等安全头、会话 Cookie 使用 httpOnly/secure/sameSite、发布前运行 npm audit）；需人工批准（新增认证流程、存储新类别敏感数据、新增外部服务集成、修改 CORS、新增文件上传处理器、调整限流、授予提升权限）；绝不执行（提交密钥到版本控制、记录敏感数据、信任客户端校验、关闭安全头、对用户数据用 eval() 或 innerHTML、在 localStorage 存认证令牌、向用户暴露堆栈跟踪）。按 OWASP Top 10 给出注入、认证破坏、XSS、访问控制破坏、安全配置错误、敏感数据暴露的防护示例；提供 Zod 边界模式校验、文件上传类型与大小限制、npm audit 结果分级处置决策树、express-rate-limit 限流、.env 密钥管理与 git diff 检查、安全审查清单及常见借口与红旗清单。使用方式：在实现安全相关代码后按验证项自查，包括 npm audit 无严重/高危漏洞、源码与 git 历史无密钥、所有输入在系统边界校验、每个受保护端点检查认证与授权、响应含安全头、错误不暴露内部细节、认证端点启用限流。限制：资料未提供该技能的具体安装命令、收费与价格、支持平台或依赖版本信息；示例以 Node/Express 与 TypeScript 为主，其他技术栈需自行适配，且不构成对任何具体漏洞的绝对保证。