用途：在构建或审查 PHP Web 应用时，按可复用流程排查与修复安全漏洞，适用于代码设计、审计、迁移计划与文档产出。
主要能力：会话安全（use_only_cookies、use_strict_mode、cookie HttpOnly/SameSite、登录后 session_regenerate_id、空闲超时）；服务端输入验证（filter_var、白名单、正则）；按上下文输出编码（HTML/JS/URL/属性/CSS）；SQL 注入防护（PDO 预处理、动态列名白名单、IN 占位符）；XSS 防护（CSP 头、模板编码）；CSRF 令牌生成与校验；文件上传安全（magic bytes、随机文件名、存于 webroot 外）；php.ini 生产加固；PHP 特有漏洞（类型混淆、反序列化、危险函数）；错误处理与信息泄露；密码哈希与加密（Argon2id、AES-256-GCM、HMAC、hash_equals）；依赖管理（composer audit）。
使用方式：先读 SKILL.md，再按需加载 references/ 下的 session-hardening.md、input-output-security.md、php-ini-security-checklist.md、security-code-patterns.md；按有序清单与决策规则执行，产出实现指导、审查发现、架构决策或模板，并明确假设、风险与后续工作。
适用场景：构建或审计 PHP 应用、配置生产 php.ini、实现会话管理、安全处理文件上传、审查 PHP 特有漏洞。
限制：不适用于与 PHP 安全无关的任务，或仅需简单回答、无需其约束与参考的场景；示例不可直接照搬，需核对适配性与失败模式；不应默认加载全部参考文件。具体收费、价格与平台信息暂未提供。