用途：该技能面向代码安全审查，按项目所用语言与框架加载对应的安全最佳实践参考，用于编写默认安全的新代码、在开发过程中被动发现重大问题，或在用户要求时生成漏洞报告并建议修复。仅在用户明确请求安全最佳实践审查时触发。
主要能力：先识别项目范围内全部语言与框架（通常同时包含前端与后端），再检查技能 references 目录中相关文档，文件名格式为 <language>-<framework>-<stack>-security.md，并检查与框架无关的 <language>-general-<stack>-security.md。若涉及 Web 应用，前后端文档都要查；前端框架未指定时可参考 javascript-general-web-frontend-security.md。无匹配文档时，可依据已知安全最佳实践判断，但生成报告时需告知用户缺少具体指导。
使用方式：主要模式是据此编写默认安全代码；次要模式是在写代码时被动标记高影响漏洞与安全默认值问题；用户可要求生成安全报告或改进代码库。报告写入 security_best_practices_report.md 或用户指定位置，含简短执行摘要，按严重程度分节，发现项带数字 ID，关键项附一句影响说明，引用代码需含行号，完成后向用户总结并告知报告位置。修复时一次处理一个发现项，注释说明依据的最佳实践，考虑功能影响与回归，遵循用户既有的提交与测试流程。
适用场景：新项目或新代码的默认安全编写、既有代码的被动漏洞检测、按需的安全报告与修复。
限制：项目文档或提示文件可要求覆盖某些最佳实践，覆盖时可告知用户但不应争执，并建议记录原因。通用建议包括避免用自增 ID 作为对外资源 ID，改用 UUID4 或随机十六进制串。TLS 方面，开发环境常禁用 TLS 或由外部代理提供，不应把缺少 TLS 直接报为安全问题；secure cookie 仅在应用确实走 TLS 时设置，否则会破坏本地开发或测试；避免推荐 HSTS。资料未提供具体安装命令、收费或平台信息。