security

用途：该技能用于让网页和应用遵循安全最佳实践，覆盖 OWASP Top 10 相关漏洞的防护，包括注入、身份认证失效、敏感数据暴露、安全配置错误、XSS、不安全反序列化、使用有漏洞组件和日志不足等。\n\n主要能力：提供 HTTPS 与传输安全建议（要求生产站点使用 HTTPS、避免混合内容）、必需安全头（X-Frame-Options、X-Content-Type-Options、X-XSS-Protection、Referrer-Policy、Strict-Transport-Security、Permissions-Policy），以及通过 meta 标签设置部分头。提供内容安全策略 CSP 的基础配置与指令参考，支持 nonce 和 hash 方式放行内联脚本，并说明各来源取值含义。还覆盖子资源完整性 SRI、表单安全（CSRF 令牌、安全属性、表单 action 使用 HTTPS）、输入校验（HTML5 属性、强调客户端校验仅用于体验，服务端必须再次校验）、输出编码防 XSS、链接安全属性 rel、点击劫持防护、敏感数据处理、Cookie 安全属性、JavaScript 安全实践、URL 校验、错误处理与安全清单。\n\n使用方式：在编写处理用户输入、表单、外部资源、认证或配置安全头与 CSP 的页面时应用这些规范。例如使用 HTTPS 资源、为第三方脚本和样式添加 integrity 与 crossorigin、在表单中加入服务端生成的 CSRF 令牌、用 textContent 而非 innerHTML 插入用户数据、为外部链接添加 rel="noopener noreferrer"。可参考相关技能 validation、forms、javascript-author 等。\n\n适用场景与限制：适用于需要提升前端与 Web 应用安全性的开发场景。示例中的头、Cookie 等部分需在服务端配置，技能仅给出 HTML 注释形式的说明；文档未提供具体收费标准、安装命令或官方实现代码，部分内容未提供。