用途：该技能用于指导 API 的安全设计，覆盖认证授权、限流、输入校验与常见 API 攻击防护，适用于选择认证方式、实现限流、配置 CORS 与安全头、校验输入、防止数据暴露、防护 BOLA/IDOR、请求签名及网关安全等场景。
主要能力：梳理 OWASP API Security Top 10（2023）内容，包括对象级授权、认证缺陷、对象属性级授权、资源消耗、功能级授权、敏感业务流、SSRF、安全配置错误、清单管理与第三方 API 不安全消费。比较 API Key、OAuth 2.0 Bearer、JWT、mTLS、HMAC 签名等认证方式及优缺点。
必要用法要点：API Key 应足够长随机（32+ 字节）、仅经 HTTPS 传输、存储哈希、支持轮换、限定操作范围并按 Key 限流，示例用 SHA256 加 FixedTimeEquals 做定时安全比较。HMAC-SHA256 请求签名示例生成 X-API-Key、X-Timestamp、X-Signature 头，并校验时间戳（5 分钟窗口）。限流策略含固定窗口、滑动窗口、令牌桶、漏桶；示例用 Redis Lua 脚本实现分布式令牌桶及 ASP.NET Core 中间件，返回 429 和 Retry-After 头。输入校验用数据注解与 OpenAPI 的 additionalProperties: false 防批量赋值。CORS 应白名单具体源，避免 AllowAnyOrigin，仅暴露必要方法与头。
限制：资料为技能说明与示例，未提供价格、平台支持范围或实施效果保证；实际部署需结合自身技术栈调整。