best-practices

用途：该技能用于按现代 Web 开发标准审查并改进页面，围绕安全、浏览器兼容性、代码质量、性能与隐私权限等维度，基于 Lighthouse 最佳实践审计给出证据驱动的改进流程。适用触发词如“应用最佳实践”“安全审计”。\n\n主要能力：提供证据驱动的审计工作流——页面可渲染时运行实时 Lighthouse 最佳实践审计（Chrome DevTools MCP 用 lighthouse_audit；普通加载用 navigation 模式，需保留当前状态用 snapshot 模式），检查控制台与网络失败，辅以依赖、响应头、配置与源码检查；修复后重跑同一审计，并区分安全发现与风格偏好。若实时工具不可用，则用 Lighthouse CLI 加针对性依赖与头部检查，且不把高分当作安全证明。\n\n覆盖内容：安全方面包括 HTTPS/HSTS、CSP 与 Trusted Types、SRI、安全响应头、依赖管理、HTML 消毒与 Cookie；兼容方面包括 doctype、字符编码、viewport、特性检测、polyfill 与已弃用 API、passive 事件监听；代码质量方面包括控制台错误、合法与语义化 HTML、图片宽高比、错误处理与边界、source map 处理；另含性能（避免阻塞、事件委托、内存清理）、权限与隐私（在上下文请求权限、Permissions-Policy）、审计检查清单及工具（npm audit、SecurityHeaders.com、W3C Validator 等）。\n\n使用方式：可作为技能安装到 GitHub Copilot、Claude Code 或 Codex 的对应技能目录（Codex 为 $CODEX_HOME/skills/best-practices，重大变更后重启）；无需 MCP 服务器，无 MCP 时用本地指令、捆绑资源、shell/编辑器工具与直接验证，并先展示所用证据。\n\n限制：Lighthouse 不是完整安全评估；未确认所有相关子域支持 HTTPS 前不应添加 HSTS；不主张使用当前主机未暴露的 MCP 操作；缺失事实（如具体安装命令、收费信息）文中暂未提供。相关技能包括 web-quality-audit、code-quality、security-best-practices、verification-before-completion、documentation-verification。