用途：这是一个后端安全编码专家技能，用于实际动手编写安全的后端代码，包括输入校验、认证系统、API 安全、数据库安全配置与漏洞修复。它侧重“写安全代码”，与侧重审计评估的 security-auditor 不同。
主要能力：输入校验与净化（允许列表、数据类型强制）；注入攻击防护（SQL、NoSQL、LDAP、命令注入）；安全错误处理与日志脱敏；敏感数据保护与密钥管理；HTTP 安全头与 Cookie 安全（CSP、HSTS、X-Frame-Options、HttpOnly、Secure、SameSite、CORS）；CSRF 防护（令牌、Origin/Referer 校验、双提交 Cookie）；输出编码与模板安全；数据库安全（参数化查询、权限分离、字段级加密、审计日志）；API 安全（JWT、OAuth 2.0/2.1、RBAC/ABAC、限流、版本管理）；外部请求安全（允许列表、SSRF 防护、证书校验）；认证授权（MFA、bcrypt/Argon2 密码哈希、会话安全）；日志监控与云基础设施安全。
使用方式：当任务属于后端安全编码、API 安全实现、数据库安全配置、认证系统编码或漏洞修复时使用。先明确目标、约束与所需输入，应用相关最佳实践并验证结果，给出可执行步骤与验证方法；如需详细示例，可打开 resources/implementation-playbook.md。
适用场景：实现 JWT 认证与刷新令牌轮换、审查 API 端点注入漏洞、为基于 Cookie 的认证配置 CSRF 防护、实现参数化数据库查询、配置安全响应头与 CSP、编写不泄露敏感信息的错误处理、为公开 API 实现限流、设计带允许列表校验的外部服务集成。
限制：仅在任务明确匹配上述范围时使用；输出不能替代针对具体环境的验证、测试或专家评审；若缺少必要输入、权限、安全边界或成功标准，应停止并请求澄清。资料未提供具体安装命令、收费方式或平台支持信息。