用途：为项目提供安全与合规方面的实现建议，覆盖认证、授权、加密、HIPAA 合规、SOC 2 控制与安全加固，遵循“假设已被入侵、纵深防御、处处最小权限”的原则。
主要能力：先检测技术栈（查看 package.json、go.mod、Gemfile、pyproject.toml、pom.xml、Cargo.toml），再推荐该栈的惯用方案而非仅限 JavaScript 的做法。安全默认项包括：OAuth 2.0 / OIDC 认证；HTTP-only、Secure、SameSite=Strict 会话 Cookie；bcrypt 或 argon2 密码哈希（最少 12 字符、不设上限）；带过期时间的 Bearer 令牌与刷新令牌轮换；CORS 显式白名单（生产环境禁用 *）；全站 HTTPS 与 HSTS；所有页面设置 CSP；认证端点限流 5 次/分、API 100 次/分。另附 OWASP Top 10 速查（注入、认证失效、敏感数据暴露、XXE、访问控制失效、安全配置错误、XSS、不安全反序列化、已知漏洞、日志不足）及对应防护。
合规方面：HIPAA 要求静态 AES-256 加密、TLS 1.2+、基于角色的访问控制与审计日志、PHI 访问审计追踪、与涉及 PHI 的供应商签署 BAA、数据最小化、60 天违规通知、年度安全培训；PHI 涵盖姓名、日期、电话、邮箱、SSN、病历号、设备 ID、生物特征、照片等可识别患者的数据。SOC 2 从安全、可用性、处理完整性、保密性、隐私五类信任原则给出实现要点，建议先做安全与可用性。
使用方式：作为安全审查清单使用，逐项检查每个端点是否有认证（含数据查询层）、边界输入校验、密钥是否仅存于环境变量、查询是否参数化、错误信息是否安全、依赖是否用对应栈的审计工具更新、日志是否充分、数据是否最小化。
限制：资料未提供具体安装命令、收费方式、支持平台或实际效果说明。