用途：为 TYPO3 v14.x 安装与扩展提供安全加固指引，兼容 TYPO3 v14。
主要能力：
- 关键配置：在 config/system/settings.php 中关闭生产环境调试（BE/FE debug=false、SYS displayErrors=0、devIPmask 置空），设置会话安全（lockIP、lockIPv6、sessionTimeout、lockSSL）、Argon2id 密码哈希、加密密钥、日志写入配置。
- 可信主机：必须配置 trustedHostsPattern 防止 Host 头注入，避免使用 '.*'；核心会在模式外包裹 /^...$/，故不要写 ^ 和 $。
- 文件系统：fileDenyPattern 需保留核心 v14 默认值再追加，不可丢弃 pht、phpsh、shtml、^.htaccess$；给出目录 2775、文件 664、配置文件 660 的权限命令；列出不得暴露在 public/ 的路径（var/log、config、.env、composer.json/lock、.git、vendor）。
- Web 服务器：提供 Apache .htaccess 与 Nginx 的隐藏文件、敏感目录、上传目录 PHP 执行拦截及安全响应头示例。
- Install Tool：删除 var/transient/ENABLE_INSTALL_TOOL，使用 openssl rand -base64 32 生成强密码，并在 Web 服务器层按 IP 限制 /typo3/install.php；devIPmask 不用于限制 Install Tool。
- 后端用户：配置密码策略（最小长度 12、大小写、数字、特殊字符、NotCurrentPassword），MFA 内置于 v14，支持 TOTP 与恢复码，可通过 BE requireMfa 或用户/组 TSconfig auth.mfa.required 强制，并记录后端登录日志。
- CSP：v14 内置 CSP，可通过事件监听器 PolicyMutatedEvent 扩展指令，或用 TypoScript additionalHeaders 设置。
- 注入与 XSS/CSRF：始终使用 QueryBuilder 与命名参数，Extbase 自动转义；Fluid 默认转义，慎用 f:format.raw；后端自动带 CSRF 令牌，自定义 AJAX 用 FormProtectionFactory，前端用 f:form。
使用方式：按上述配置与命令逐项落地，并核对官方 TYPO3 文档确认 API 在 v14 未废弃。
限制：部分功能开关名称与语义随小版本变化，需以对应版本核心文档为准；示例中的 IP、域名、路径需按实际环境调整。更多 v14 说明与上线清单见 references/v14-notes.md 与 references/checklists.md。