用途：为使用 AWS S3 存储、CloudFront 做全球分发的静态网站，定义安全配置与部署实践。
主要能力： S3 存储桶配置要求：封锁所有公开访问（通过 CloudFront Origin Access Identity 访问）、启用版本控制、启用服务端加密（AES-256）、启用访问日志、为旧版本设置生命周期策略、使用最小权限 IAM 策略；并给出允许 CloudFront OAI 读取对象的存储桶策略示例。 CloudFront 分发要求：仅使用 HTTPS（HTTP 重定向到 HTTPS）、最低 TLS 1.2、启用 HTTP/2 与 HTTP/3、配置 ACM 自定义 SSL 证书、设置合适缓存 TTL、启用 gzip/Brotli 压缩、对 S3 使用 OAI、配置自定义错误页。 安全响应头：通过 Lambda@Edge 或 CloudFront Functions 注入 HSTS（max-age=31536000; includeSubDomains; preload）、CSP、X-Content-Type-Options、X-Frame-Options、X-XSS-Protection、Referrer-Policy、Permissions-Policy，示例以函数返回加头方式给出。 缓存 TTL 建议：HTML 文件 0-3600 秒；CSS/JS、图片、字体均为 31536000 秒并配合缓存失效（cache busting）；附 CloudFront 缓存策略 JSON，MinTTL 0、DefaultTTL 86400、MaxTTL 31536000，启用 gzip/Brotli，不转发查询串、头与 Cookie。
使用方式：按上述规则配置 S3 与 CloudFront，并把安全头函数绑定到分发行为；相关资料引用 github-actions-cicd 与 security-architecture 的 SKILL.md。
适用场景：在 AWS 上托管静态站点并需要 CDN、HTTPS 与安全头加固的场景。
限制：资料未提供具体安装命令、定价、部署步骤与平台限制，暂未提供。