用途：对应用进行系统性安全审计并给出加固建议，覆盖安全响应头、Cookie 配置、数据库行级安全（RLS）、输入校验、限流、环境变量、HTTPS、CORS 与依赖漏洞。
主要能力：按步骤发现项目结构与技术栈（package.json、next.config.*、middleware.ts、app 路由、.env.example，识别认证与数据库类型）；用 Grep 检查安全头（X-Frame-Options、X-Content-Type-Options、Strict-Transport-Security、Content-Security-Policy、Referrer-Policy、Permissions-Policy 等）并生成 next.config.ts 配置；审查 Cookie 的 httpOnly、secure、sameSite 与过期时间；审计 Supabase/PostgreSQL 的 RLS 启用与策略缺口；检查 SQL 注入风险、表单校验与 Zod 使用；检查 API 路由限流（如 @upstash/ratelimit）；排查硬编码密钥与客户端环境变量暴露；检查 HTTPS 强制与 CORS 是否过宽；运行 npm audit 与 npm outdated。
使用方式：按技能内 12 个步骤执行，参考 references/security-headers.md、references/rls-checklist.md、references/owasp-top-10.md，使用 assets/security-report-template.md 生成报告，输出到 reports/、fixes/、scripts/ 目录，并附实施清单与修复脚本。
适用场景：Next.js 与 Supabase 类 Web 应用的安全自查与加固。
限制：资料未提供具体收费、价格、平台支持范围与效果保证；部分示例代码需按实际项目调整。