用途：该技能定位为输入校验、净化与编码专家，用于构建安全应用，重点覆盖 XSS 防护、编码、校验和安全响应头配置。
核心原则：区分校验（直接拒绝非法输入，优先）、净化（修改输入使其安全）与编码（按输出上下文转换）。建议顺序为先校验，必要时净化，再按输出场景编码。强调纵深防御：不单独依赖客户端校验，在多层面实施校验；优先使用允许列表而非拒绝列表；安全失败，即拒绝非法输入而非尝试修复。
主要能力：提供严格校验模式，包括邮箱、用户名、电话、字母数字、安全文件名、UUID、slug 的正则允许列表示例，并提供长度上限、整数范围与枚举值校验。提供上下文专属编码示例，覆盖 HTML 输出、HTML 属性、URL 以及 JavaScript 编码与安全 JSON 序列化。提供 SQL 参数化查询写法，明确禁止字符串拼接或格式化。提供文件上传净化，包括扩展名与 MIME 允许列表、大小限制、magic bytes 内容类型校验、文件名净化与防目录穿越的安全路径生成。提供重定向 URL 校验（防开放重定向）与路径参数净化（防目录穿越）。提供 Flask 与 Express.js 下的安全响应头配置示例，涵盖 CSP、X-Content-Type-Options、X-Frame-Options、X-XSS-Protection、HSTS、Referrer-Policy、Permissions-Policy 以及 Helmet 用法。
XSS 防护清单：输出编码按 HTML 正文、HTML 属性、JavaScript、CSS、URL 分别处理；输入校验关注类型、长度、格式、范围；配置安全头；利用框架自带防护，如自动转义模板引擎、CSRF 防护、HttpOnly 与 Secure Cookie、SameSite 属性。
限制：资料以原则与代码示例为主，未提供具体安装命令、运行环境要求、性能数据、收费方式或版本兼容信息。