vibe-security 是一份面向 Web 应用的安全编码指南，以攻击者（漏洞猎人）视角，帮助在不破坏功能的前提下尽量提升应用安全性。适用场景包括：编写新的 Web 端点或 API 路由；审查涉及用户输入、身份认证、文件上传的 PR；实现认证、授权或会话管理；处理文件上传、重定向或基于 URL 的功能；添加安全响应头或 CSP。资料说明不适用于基础设施/网络安全，那类场景应使用 defense-in-depth。
工作流程分四步：识别攻击面（按访问控制、XSS、CSRF、SSRF、SQL 注入、文件上传、路径穿越等领域对照触发条件），应用各领域检查清单，验证安全响应头，最后审查与测试（确认修复不破坏功能、用绕过技术测试、如有条件运行自动化扫描）。
核心原则包括纵深防御、失败时安全关闭（拒绝访问）、最小权限、服务端验证所有输入、按渲染上下文进行输出编码。主要内容覆盖：访问控制（每请求校验资源归属、避免 IDOR 与越权、使用 UUID、账号生命周期令牌吊销、防止批量赋值）；客户端漏洞（XSS 的输入来源与上下文编码、CSP、DOMPurify；CSRF 令牌与 SameSite Cookie；密钥与敏感数据不应出现在客户端；开放重定向的允许列表与各类绕过技术；密码使用 Argon2id/bcrypt/scrypt）；服务端漏洞（SSRF 的允许列表、IP/DNS 绕过与云元数据防护、DNS 重绑定；文件上传的扩展名、magic bytes 与内容校验、ZIP slip、SVG 等；SQL 注入以参数化查询为主要防御）。
使用方式为按需查阅对应领域章节作为检查清单。资料未提供安装命令、版本、收费或平台信息。