用途：这是一份 OWASP 安全清单参考技能，供代理在后端 API 实现与安全审查时引用，覆盖 OWASP API Security Top 10、认证、输入校验、HTTP 安全头、敏感数据处理与信任边界验证。
主要能力：列出 API 安全 Top 10 的风险、检查点与防御（如 BOLA 需逐端点校验对象归属、认证需 bcrypt cost 12+ 与限流、SSRF 需 URL 白名单并屏蔽内网 IP）。认证部分给出密码策略、JWT 配置（访问令牌 15-30 分钟、刷新令牌 7-14 天、RS256/HS256、httpOnly+secure+sameSite 存储）与会话安全建议。HTTP 安全头给出 HSTS、X-Content-Type-Options、X-Frame-Options、CSP、Referrer-Policy、Permissions-Policy 的推荐值。输入校验覆盖 schema 校验、长度限制、参数化查询、XSS 转义、路径规范化、文件上传与 CORS。另含敏感数据存储/传输/日志规则、P0-P3 严重级别、信任边界原则与常见合理化借口。
使用方式：目标代理为 manager-develop（在 tdd 或 ddd 上下文应用清单）；安全审计入口为 /moai review --security，也可按需以 Agent(general-purpose) 安全专家方式调用。
适用场景：后端 API 实现、安全审查、发布前检查。
限制：资料未提供安装命令、收费、价格与平台信息；具体工具与配置需结合项目实际。