用途：面向生产环境 API 的安全加固技能，按工作流实现输入校验、身份认证、RBAC 授权、限流、安全响应头、日志监控等防护措施，降低常见攻击风险。
主要能力：输入校验使用 Zod 定义 schema（邮箱、密码、UUID、分页等）并通过 Express 中间件校验 body/query/params，另含去除标签与事件处理器的字符串净化；认证中间件基于 JWT Bearer 校验并处理令牌过期，另提供可选认证；授权支持基于角色的 authorize 与 hasPermission 资源/动作权限判断；限流基于 express-rate-limit 与 Redis 存储，区分通用接口、认证接口（15 分钟 5 次）及按成本计费的限流；安全响应头通过 helmet 配置 CSP 并补充缓存控制与 Permissions-Policy；另含参数化查询防 SQL 注入、DOMPurify 防 XSS、带 requestId 的请求/响应日志与安全事件告警、统一错误处理避免泄露内部错误。
使用方式：在 Express 项目中按需引入对应中间件与工具模块，将验证中间件挂载到路由，对敏感端点叠加 authenticate、hasPermission 或 authorize，为 API 配置限流器与 helmet 响应头。
适用场景：Node/TypeScript 后端 API 安全建设与加固。
限制：资料未说明具体安装命令、版本要求、收费与许可证信息，暂未提供；示例以 Express 为主，其他框架需自行适配。