用途：提供一套遵循 OWASP 安全编码实践的开发规范，帮助在编写代码时防范注入、XSS、越权等常见安全风险。
主要能力：
- 输入验证：验证所有不可信来源输入，采用白名单、校验类型/长度/格式，并在校验前规范化输入。
- 输出编码：按 HTML、JavaScript、URL、CSS、属性等上下文编码，优先使用框架自带编码函数。
- 认证与授权：强密码策略与 bcrypt/Argon2/scrypt 存储、MFA、安全会话 Cookie 与超时、最小权限、RBAC/ABAC、默认拒绝、每请求校验授权、防 IDOR。
- 密码学：使用标准算法与 AEAD，避免自研加密与 MD5/SHA1/RC4/DES 等废弃算法，做好密钥生成、存储、轮换与 TLS 通信。
- 错误处理：对外返回通用错误信息，服务端记录详细日志，使用自定义错误页避免信息泄露。
- 语言特定建议：覆盖 JavaScript/TypeScript、Python、Java、Go、C/C++、PHP，如参数化查询、避免 eval 与不安全反序列化、禁用 XXE、防路径穿越、安全随机数等。
- API 安全：OAuth 2.0/JWT/API 密钥认证、限流、HTTPS、版本管理、CORS/CSRF 防护，以及 GraphQL 查询深度与复杂度限制、生产环境关闭 introspection。
- 反模式清单：硬编码密钥、SQL 字符串拼接、默认凭据、生产开启调试、安全靠隐匿、跳过代码审查与依赖漏洞检查等。
使用方式：该技能以规范与清单形式供开发或智能体在编码与评审时参照，资料未提供具体安装命令或调用步骤。
适用场景：后端与前端代码开发、安全代码评审、API 设计与加固、依赖与配置检查。
限制：资料未说明其具体实现、运行平台、收费方式与效果验证方法。
分类：安全与审计。