用途：该技能用于加固 React 客户端应用的安全边界，主要覆盖三类场景：防范 XSS、保护认证流程、审计第三方依赖。定位为 P0（关键）优先级。
主要能力：
- 防范 XSS：禁止在未净化时使用 dangerouslySetInnerHTML，对用户提供的 HTML 使用 DOMPurify.sanitize(input)；避免在 href 或 src 中使用 javascript: 协议。
- 安全认证：将 JWT/会话存入 HttpOnly 与 Secure Cookie，避免通过 XSS 窃取；不要在 localStorage 或已构建的 JS bundle 中存储密钥。数据流上，若把序列化状态注入 HTML（如 SSR）需转义；使用内容安全策略（CSP）限制脚本来源并阻止内联执行。
- 加固应用边界：对改变状态的请求（PUT/POST/DELETE）使用 CSRF 令牌，适用处设置 SameSite=Strict Cookie；后端始终校验并净化用户输入，前端校验仅供体验；定期运行 npm audit / pnpm audit，锁定具体依赖版本并使用 npm-check-updates；确保服务器发送 X-Frame-Options: DENY、X-Content-Type-Options: nosniff 和 Permissions-Policy。
反模式：不使用 eval()（存在 RCE 风险）；不将 JSON 未转义地注入 DOM；不依赖客户端逻辑做权限控制，后端必须校验。
使用方式：当任务涉及防止 XSS、保护认证流程或审计第三方依赖时应用本技能；实现细节可参考 references/REFERENCE.md 中的 DOMPurify 用法、CSP 响应头、OAuth2/JWT 认证模式与 CSRF 防护。技能要求保留“锁定具体依赖版本”等域术语或等价示例。
适用场景：React 前端安全评审、SSR 状态注入加固、认证存储策略设计与依赖漏洞治理。
限制：资料未提供具体版本要求、安装命令、代码实现示例与平台绑定信息，暂未提供。