用途：为 API 提供纵深防御，抵御滥用、注入攻击与数据泄露，覆盖 Express、FastAPI 与无服务器场景，配方按 OWASP API Security Top 10:2023 组织。
主要能力：限流（含 Redis 存储、滑动窗口、按用户/API 密钥分层、按账户的图遍历配额）、输入校验（Zod/Pydantic、可写字段白名单）、CORS、安全响应头、请求大小与超时保护、API 密钥管理、SSRF 出站 URL 白名单、反序列化安全。
使用方式：技能要求先做安全现状调研（默认开启，仅在满足特定条件时可跳过并记录一行说明），并行派发 4 个角度子代理：权威标准（NIST/OWASP/IETF/W3C/CISA）、活跃利用（CISA KEV、CVE/GHSA、事件复盘）、工具与库状态（npm/PyPI/RubyGems/crates.io/pkg.go.dev 版本）、从业者讨论（OWASP Cheat Sheet、厂商博客、会议）。汇总后写一段“截至今日的现状”，若与技能正文冲突则以调研结论为准。无法使用子代理时改为 4 次顺序检索。
适用场景：需要加固 API 的团队，尤其是认证端点、图/关系扩展端点、文件上传与外部 API 调用路径。
限制：技能正文为快照，安全知识半衰期约 6-12 个月，需按当前权威来源重新解释；API5、API9 不在本技能范围内；具体版本、价格与效果资料未提供。