epic-security

本技能用于配置和维护 Epic Stack 应用的安全措施。主要能力包括：CSP（在 server/index.ts 通过 helmet 配置，默认 report-only 模式）、蜜罐字段防垃圾提交（表单中使用 HoneypotInputs，action 中调用 checkHoneypot）、基于 express-rate-limit 的限流（对 /login、/signup、/verify、/admin、/reset-password 等路径使用更严格限制）、会话安全（httpOnly、secure、sameSite、密钥轮换数组）、密码哈希（bcryptjs，10 轮）与常见密码检查、Zod 输入校验与 transform 清洗、Helmet 安全响应头、HTTP 转 HTTPS 重定向，以及通过环境变量与 fly secrets 管理密钥。设计原则：尽早校验认证、授权与输入并立即失败；错误信息清晰可调试但不得泄露敏感数据；禁止用 dangerouslySetInnerHTML 渲染用户内容；禁止硬编码密钥。测试与开发环境会实际禁用限流以便快速测试。具体版本、价格与平台支持暂未提供。