security-review 是一个面向开发过程的安全审查技能，适用于实现认证或授权、处理用户输入或文件上传、创建新 API 端点、使用密钥或凭据、实现支付功能、存储或传输敏感数据以及集成第三方 API 等场景。
主要能力覆盖十类安全检查：密钥管理（禁止硬编码，使用环境变量并验证存在）、输入验证（用 zod 等 schema 校验，文件上传限制大小、类型与扩展名）、SQL 注入防护（使用参数化查询而非字符串拼接）、认证与授权（令牌存 httpOnly Cookie、敏感操作前校验角色、Supabase 启用行级安全 RLS）、XSS 防护（用 DOMPurify 净化 HTML、配置 CSP）、CSRF 防护（CSRF 令牌与 SameSite=Strict）、速率限制（对 API 与高开销操作设限）、敏感数据暴露（日志脱敏、错误信息通用化）、区块链安全（Solana 钱包签名与交易校验）以及依赖安全（npm audit、提交锁文件、npm ci）。
使用方式为在开发与部署前按清单逐项核对，并编写自动化安全测试（认证 401、授权 403、输入校验 400、速率限制 429）。部署前检查清单涵盖 HTTPS、安全响应头、CORS、文件上传校验等。
限制：资料未提供该技能的安装命令、收费方式、支持平台或具体运行步骤，暂未提供相关信息。