用途：该技能面向应用安全工程，用于安全代码审查、漏洞扫描结果评估、安全最佳实践落地、认证与授权开发、数据加密实现、安全审计合规检查，以及 OWASP Top 10 漏洞防护。
主要能力：涵盖安全代码审查、漏洞扫描、认证与授权、数据加密、安全审计合规、OWASP Top 10 防护、输入校验与输出编码。规则要求校验所有用户输入、输出编码防 XSS、防 SQL 注入、CSRF 防护、配置安全响应头（CSP、HSTS、X-Frame-Options）、密钥管理并定期安全审计。
OWASP Top 10 防护要点：注入类使用参数化查询并校验输入；认证失效需正确会话管理、bcrypt 密码哈希与 MFA；敏感数据加密传输与存储；禁用 XML 外部实体；访问控制采用 RBAC 且默认拒绝；关闭生产调试模式并更新依赖；XSS 需输出编码与 CSP；不反序列化不可信数据；用 npm audit / Snyk 监控组件漏洞；记录安全事件并告警。
使用方式：资料给出 Next.js 安全响应头配置示例（next.config.ts 中设置 HSTS、X-Frame-Options、CSP 等），Zod 输入校验与 DOMPurify 净化示例，Supabase 会话校验与 Upstash 限流示例，以及安全审计清单。
适用场景：Web 应用安全加固、代码审查、合规审计准备。限制：资料未提供安装命令、收费信息与具体平台支持范围。