用途：识别当前项目使用的语言与框架，加载本技能 references 目录中对应的安全最佳实践文档，用于编写默认安全的新代码、被动检测既有代码中的重大问题，或在用户要求时生成漏洞报告并建议修复。仅在用户明确请求安全最佳实践审查时触发。
主要能力：先识别项目涉及的全部语言与框架（通常需同时覆盖前端与后端），再查找文件名形如 <language>-<framework>-<stack>-security.md 的参考文件，以及框架无关的 <language>-general-<stack>-security.md；若前端框架未指定，可参考 javascript-general-web-frontend-security.md。无匹配文档时，可依据已知安全实践处理，但生成报告时应告知用户缺少具体指导。
使用方式：主要模式是据此编写默认安全代码；次要模式是在开发中被动标记高影响漏洞与安全默认值问题；用户可要求生成安全报告，报告写入 security_best_practices_report.md 或用户指定位置，含执行摘要、按严重程度分节、数字 ID 与关键发现的单句影响说明，并附代码行号。修复时一次处理一个发现，添加说明注释，遵循项目既有的提交与测试流程，避免破坏现有功能。
适用场景：新项目或新代码的安全默认值、既有代码库的被动漏洞检测、按需的安全审查报告与修复。
限制：项目文档或提示文件中的特定规则可覆盖最佳实践，覆盖时可告知用户但不应争执；开发环境通常无 TLS，不应将缺少 TLS 报告为安全问题，secure cookie 仅在应用实际使用 TLS 时设置，避免推荐 HSTS；公共资源 ID 建议使用 UUID4 或随机十六进制而非自增 ID。具体参考文档内容与支持的语言框架清单暂未提供。