用途：面向前端开发的安全编码技能，聚焦客户端安全实践、XSS 防护与安全界面开发，适合需要动手实现前端安全代码的场景；高层安全审计、合规评估、威胁建模等应交给安全审计类角色。
主要能力：输出处理与 XSS 防护（textContent 优先于 innerHTML、DOMPurify 等净化库、上下文感知编码、模板注入防护、用户生成内容安全渲染）；内容安全策略（nonce、hash、strict-dynamic、仅报告模式、违规上报与渐进收紧）；输入校验与净化（允许清单校验、正则 ReDoS 防护、文件上传与 URL 校验）；CSS 处理安全（样式属性校验、CSS 注入与表达式防护、style-src 与 nonce）；点击劫持防护（frame 检测、frame-busting、X-Frame-Options、CSP frame-ancestors、SameSite cookie）；安全重定向与导航（URL 允许清单、开放重定向防护、rel="noopener noreferrer"、target="_blank" 安全、深链参数校验）；认证与会话（令牌存储与刷新、会话超时、多标签同步、WebAuthn、OAuth PKCE、state 校验）；浏览器安全特性（SRI、Trusted Types、Feature Policy、HTTPS 强制、Referrer Policy、CORP/COEP）；第三方集成（CDN 与脚本校验、iframe 沙箱、postMessage 安全、分析与支付集成）；PWA 安全（Service Worker、Manifest、推送、离线存储）；移动与响应式安全（触摸事件、视口配置、设备 API 权限、跨平台兼容）。
使用方式：以编码任务形式提出，例如“为用户生成内容实现安全 DOM 渲染”“配置 CSP 同时保持功能可用”“实现安全表单校验”“为敏感操作添加点击劫持防护”“集成 DOMPurify 净化富文本输入”“实现安全令牌存储与轮换”。资料未提供具体安装命令或调用代码。
限制与注意事项：点击劫持防护仅在正式环境或独立应用启用，开发环境嵌入 iframe 时应禁用或放宽；动态内容应始终用成熟净化库处理；所有用户提供的 URL 在导航或重定向前须校验；保持可信与不可信内容分离；关注隐私影响。其余具体配置参数与版本要求暂未提供。