用途：本技能用于在设计新功能、审查代码、实现认证授权流程、处理密钥凭据、配置 HTTP 安全响应头、评估依赖或设计风险、准备安全审计或渗透测试，以及响应安全事件或漏洞报告时提供指导。内容与技术栈无关。
主要能力：
- OWASP Top 10（2021）：列出失效的访问控制、加密失败、注入、不安全设计、安全配置错误、易受攻击的组件、认证失败、完整性失败、日志与监控失败、SSRF，并给出各自的首要防御方向。
- 输入校验：强调在服务端校验、允许列表优先、校验类型长度格式范围、拒绝意外输入，并注意类型强制转换风险与参数化查询（ORM 的原始查询方法会绕过保护）。
- 认证与授权：密码使用 bcrypt、scrypt 或 Argon2id；支持 TOTP、WebAuthn/passkeys、恢复码；会话 ID 需密码学随机、登录后重新生成、设置 HttpOnly/Secure/SameSite 并支持超时与登出失效。JWT 需服务端校验签名算法、拒绝 alg: none、保持短时效，且载荷不加密。授权遵循最小权限、默认拒绝，可用 RBAC 或 ABAC，须在服务端每个请求（含 API、文件下载、间接引用）执行，防范 IDOR。
- 数据保护与密钥管理：静态与传输加密、TLS 1.2+、PII 分类与最小化、日志脱敏、密钥轮换；禁止在代码或配置中存放密钥，可用密钥管理器，环境变量仅作次优选择。
- 安全响应头：CSP、HSTS、X-Content-Type-Options、X-Frame-Options、Referrer-Policy、Permissions-Policy 及 CORS 的限制性配置。
- 常见反模式与安全审查清单：涵盖输入输出、认证、授权、数据、配置、监控等检查项。
使用方式：资料未提供具体安装命令、配置步骤或调用方式。可将其作为安全设计、代码审查和发布前检查的参考指南使用。
适用场景：新功能设计、代码安全审查、认证授权实现、密钥处理、安全响应头配置、依赖风险评估、安全审计或渗透测试准备、安全事件响应。
限制：资料未说明支持的平台、编程语言或框架版本，也未提供具体工具集成方式；OAuth2 相关内容仅提及授权码加 PKCE、客户端凭据，并明确不推荐已弃用的隐式流程。