用途：在实现认证/授权、处理用户输入、防范 OWASP Top 10 漏洞（含自定义安全实现）时提供成体系的安全编码指引。
主要能力：提供五步核心工作流——威胁建模（识别攻击面与威胁）、设计（规划安全控制）、实现（纵深防御式安全编码）、验证（按检查点测试安全控制）、文档化（记录安全决策）。验证检查点覆盖：认证（暴力破解防护/锁定与速率限制触发、会话固定抵抗、令牌过期、错误信息不得泄露用户是否存在）、授权（横向与纵向越权路径需阻断，需用不同角色/用户的令牌测试）、输入处理（SQL 注入载荷与 XSS 载荷需被拒绝或转义）、请求头/CORS（用 curl -I、Mozilla Observatory 等扫描器确认安全头存在且 CORS 来源白名单正确）。另附参考指南，按上下文加载 OWASP 防范、认证（密码哈希、JWT）、输入校验（Zod、SQL 注入）、XSS/CSRF、安全头（Helmet、速率限制）等主题文档。
必要用法与强制约束：密码须用 bcrypt/argon2 哈希（禁止 MD5/SHA-1/无盐哈希）；SQL 须用参数化查询（禁止字符串插值）；所有用户输入须先校验与净化；认证端点须实现速率限制；须设置安全响应头（CSP、HSTS、X-Frame-Options）；须记录安全事件（认证失败、提权尝试）；密钥须存于环境变量或密钥管理器。禁止明文或可逆加密存储密码、无校验信任输入、在日志或错误响应中暴露敏感数据、使用弱算法（MD5、SHA-1、DES、ECB）、硬编码密钥。
适用场景：登录/注册等认证端点加固、权限与越权防护、输入校验与输出编码、安全头与 CORS 配置、JWT 签发与校验。资料中提供了 bcrypt 哈希、pg 参数化查询、Zod 校验、JWT 校验及带 helmet 与 express-rate-limit 的完整端点示例，实现时应遵循其中的最小盐轮数、算法白名单（HS256）、令牌短期有效、httpOnly/secure/sameSite Cookie 等做法。
限制：该技能归属 AIX skill pack，用户侧别名为 aix-secure-code-guardian；生成产物应写入 .aix/ 目录，写文件前用 mkdir -p .aix 创建目录，默认可被覆盖，除非明确要求否则不要写入项目根目录。资料未提供收费、价格、平台支持范围与效果承诺等信息。