该技能用于为 Web 应用实施系统化安全加固，降低常见漏洞风险。
用途：一是按 OWASP Top 10（2024）逐项给出防护思路，涵盖注入、认证失效、敏感数据泄露、XXE、访问控制缺陷、配置错误、XSS、不安全反序列化、组件漏洞与日志缺口；二是提供可落地的代码配置范式。
主要能力：安全响应头配置（HSTS、X-Frame-Options、X-Content-Type-Options、Referrer-Policy、Permissions-Policy、CSP 等，以 Next.js headers 为例）；输入校验与 HTML 净化（Zod 模式校验、DOMPurify 白名单标签与属性）；SQL 注入防护（参数化查询，避免字符串拼接）；密码哈希（Argon2id，含 memoryCost、timeCost、parallelism 参数）；会话安全（jose 签发 JWT，cookie 设置 httpOnly、secure、sameSite、maxAge）；登录限流（Upstash Ratelimit 滑动窗口，示例为每分钟 5 次）；基于角色的访问控制 RBAC（admin/editor/viewer 与权限映射及中间件校验）；CSRF 防护（Server Actions 或双提交 Cookie 模式）；密钥管理（环境变量、启动时校验必需变量）。
使用方式：按技能中的代码片段在项目中配置相应文件，如 next.config.js 的 headers()、Zod schema、Prisma 查询、Argon2 哈希校验、Ratelimit 实例、RBAC 权限表与 CSRF token 生成校验函数。命令类信息仅在依赖审计处提及 npm audit。
适用场景：使用 Next.js/Node 生态构建、需要落实认证授权、输入校验与安全头配置的 Web 应用。
限制：给出了安全清单（HTTPS、安全头、输入校验、参数化查询、Argon2id、会话属性、限流、RBAC、CSRF、依赖审计、环境变量、错误信息不泄露、安全事件日志）与反模式清单（明文密码、仅信任客户端校验、暴露堆栈、MD5/SHA1、硬编码密钥、执行不可信输入）。但技能未提供安装命令、版本要求、性能开销数据及具体框架以外的适配说明；完整示例篇幅较长，实际实施需结合自身技术栈调整。