用途：这是一个代码安全评审技能，目标是在攻击者发现缺口前进行防御，核心原则是“安全不是功能，而是属性”，要求以对抗性思维审查代码。资料包含时效性提醒：安全实践随威胁、漏洞与标准演进，需在新 CVE、Microsoft SFI 更新、重大安全事件、依赖安全公告、合规要求变化时刷新，最后验证时间为 2026 年 2 月。
主要能力：覆盖 Microsoft 安全未来倡议（SFI）的核心原则（Secure by Design、Secure by Default、Secure Operations）、四大基础与六大支柱；提供 Secure by Design 检查清单、Secure by Default 模式（如默认启用 HTTPS、限制 CORS、最小权限、输入校验与净化）；整理 OWASP Top 10 的检查点与预防措施；给出 STRIDE 威胁建模表（仿冒、篡改、抵赖、信息泄露、拒绝服务、权限提升）；提供代码评审安全视角清单（认证、授权、输入校验、数据保护、依赖）；凭证管理（禁止硬编码、轮换周期、Git 泄露处置）；依赖安全（npm audit、npm outdated、Dependabot、Snyk、更新响应时限）；合并前门禁清单、危险信号、按语言常见漏洞、安全响应头清单、快速安全自问与事件响应衔接。
使用方式：作为代码评审与设计阶段的安全检查参考，按清单逐项核对；示例命令保持原样，如 npm audit、npm audit fix、npm outdated。
适用场景：代码合并前评审、威胁建模、依赖审计、凭证与配置加固、安全事件响应前的预防。
限制：资料未提供具体安装命令、平台支持范围、收费或价格信息；部分内容为原则性指引，实际落地需结合项目技术栈与合规要求。