用途：这是一份安全编码规范，用于在编写处理用户输入、认证授权、数据库查询、文件操作、外部 API 调用、系统命令、HTTP 响应头与文件上传等代码时，强制落实安全实践。核心原则是：绝不信任信任边界之外的数据，每次跨越边界都要验证。
主要能力：按 OWASP Top 10 给出要点，包括访问控制（每个端点校验用户、动作、资源归属，默认拒绝）、加密失败（密码用 bcrypt/scrypt/argon2，全程 TLS，安全随机数，禁止自造加密）、注入防护（SQL 用参数化查询，避免命令拼接，模板自动转义）、不安全设计（限流、验证码、服务端业务校验）、安全配置（改默认凭据、关调试、限制 CORS）、组件漏洞（定期 npm audit / pip audit / cargo audit）、认证失败（会话令牌 httpOnly/secure/sameSite、锁定与 MFA）、数据完整性、日志监控（记录认证与授权失败，不记录密码与密钥）、SSRF（URL 允许列表、阻断内网地址）。还给出安全响应头、密钥管理、输入验证清单与常见认知陷阱。
使用方式：在交付任何处理外部数据的代码前，按入口协议执行五步：识别信任边界、验证输入、按目标上下文净化输出、校验授权、保护密钥。资料未提供具体安装命令或调用方式。
适用场景：Web/API 开发、认证授权模块、数据库访问层、文件与命令处理、外部服务集成等。
限制：资料为规范与清单，未提供具体语言实现、工具集成步骤或价格信息；需结合项目实际落地。