用途：在实现认证/授权、处理用户输入或防范 OWASP Top 10 漏洞时提供安全编码指导，包括自定义安全实现。
主要能力：按“威胁建模—设计—实现—验证—文档”流程工作；提供参考指南（OWASP 防范、认证、输入校验、XSS/CSRF、安全头）；给出 bcrypt 密码哈希、参数化 SQL、Zod 输入校验、JWT 校验及带限流的登录端点等代码示例；要求验证检查点，如暴力破解防护、会话固定抵抗、令牌过期、水平/垂直越权、SQL 注入与 XSS 载荷、安全头与 CORS。
必要用法：在实现安全功能时输出安全实现代码、安全注意事项、配置要求（环境变量、响应头）和测试建议。命令与代码保持原样，例如 curl -I 可用于检查安全头。
限制与约束：必须对密码使用 bcrypt/argon2 哈希，使用参数化查询，校验并净化所有用户输入，在认证端点实施限流，设置 CSP、HSTS、X-Frame-Options 等安全头，记录安全事件，密钥存于环境变量或密钥管理器；不得明文或可逆加密存储密码，不信任未校验输入，不在日志或错误响应中暴露敏感数据，不使用 MD5、SHA-1、DES、ECB 等弱算法，不硬编码密钥。安装方式、收费、平台和价格暂未提供。