用途：在开发 SaaS 应用、搭建认证、处理用户数据或部署功能时，提供一份可对照执行的安全检查清单，帮助避免常见漏洞。
主要能力： 认证基础：受保护路由必须要求认证；密码用 bcrypt/argon2 哈希，禁止明文存储；注册需邮箱验证；重置密码仅通过邮件；会话闲置 30–60 分钟过期；登出需彻底清除会话。 密钥管理：数据库密码、API 密钥（Stripe、SendGrid 等）、JWT 密钥、OAuth 客户端密钥、加密密钥一律放环境变量，不写进代码；把 .env 加入 .gitignore，通过 process.env.API_KEY 访问。 数据保护：密码哈希存储而非加密；支付信息走 Stripe，不自行存卡；不记录密码、卡号、API 密钥、会话令牌，日志中以 "[REDACTED]" 替代。 API 安全：所有接口需认证检查、速率限制（示例 100 请求/分钟/IP，超出返回 429）、输入校验、错误信息不泄露细节。 其他检查项：服务端校验输入、参数化查询防 SQL 注入、消毒输入防 XSS、表单加 CSRF 令牌、生产环境强制 HTTPS、CORS 白名单而非通配符、校验文件上传类型与大小、保护管理员路由。
使用方式：按清单逐项核对，或把资料中给出的提示语交给 AI 助手，例如要求为路由加 JWT 认证、返回 401、不暴露错误细节；加速率限制；校验邮箱/密码/用户名格式；为 Node 加 Helmet.js 设置安全响应头。测试可用 grep 在源码中查找密钥或密码残留，并尝试未登录访问受保护路由、快速请求接口验证限流是否生效。
适用场景：面向 AI 辅助构建的应用，也适用于多数 MVP 的自我审查。若直接处理支付、存储健康或金融数据、多租户数据隔离、用户超 1000 或处理敏感 PII，资料建议寻求专业安全审计。
限制：本资料为通用检查清单，未提供具体框架的完整代码实现、价格或平台支持信息；是否满足合规要求暂未提供说明。