security-review 是一个安全审查技能，用于确保代码遵循安全最佳实践并识别潜在漏洞。它在实施认证或授权、处理用户输入或文件上传、创建新 API 端点、使用 secrets 或凭证、实施支付功能、存储或传输敏感数据、集成第三方 API 时激活。
主要能力以检查清单和代码模式呈现，覆盖十个方面：secrets 管理（禁止硬编码，使用环境变量并校验存在）；输入验证（用 zod 等 schema 验证，文件上传限制大小、类型、扩展名，采用白名单）；SQL 注入预防（使用参数化查询或 ORM/查询构建器，禁止字符串拼接）；认证与授权（令牌存 httpOnly cookie 而非 localStorage，敏感操作前检查角色，Supabase 启用行级安全 RLS）；XSS 预防（用 DOMPurify 清理用户 HTML，配置 CSP 标头）；CSRF 保护（CSRF 令牌、SameSite=Strict、双重提交 cookie）；速率限制（对 API 及昂贵操作设置更严格限制）；敏感数据暴露（日志脱敏、对外返回通用错误消息、不暴露堆栈）；区块链安全（验证钱包签名与交易详情、余额检查）；依赖项安全（npm audit、npm audit fix、npm update、npm outdated，提交锁文件并在 CI 使用 npm ci，启用 Dependabot）。
使用方式：在相关开发场景中参照清单逐项核对，并配合自动化安全测试（认证 401、授权 403、输入校验 400、速率限制 429）。部署前按清单检查 secrets、输入验证、SQL 注入、XSS、CSRF、认证、授权、速率限制、HTTPS、安全标头、错误处理、日志、依赖项、RLS、CORS、文件上传与钱包签名。
限制：资料未提供该技能的安装命令、收费方式、支持平台或具体集成步骤，暂未提供。