用途：为 Web 应用开发提供安全优先的实践约束，覆盖所有接触真实用户数据、认证或外部系统的代码，可在处理用户输入、认证授权、数据存储、外部集成、文件上传、Webhook、支付或 PII 时使用。涉及编码工作时建议先加载 engineering-principles 技能。
环境分级：生产与生产类预发环境应用完整清单并失败即关闭；本地开发在隔离、显式且不会误发布为部署默认值时可放宽（如禁用 CORS、HTTP 代替 HTTPS、放宽 CSP、localhost 使用 secure:false cookie、详细内部错误、模拟认证与外部服务）。开发例外须在代码或配置中显眼，并以显式环境检查为门控。
主要默认规则：生产始终在边界校验外部输入；数据库查询参数化，禁止拼接 SQL；输出编码防 XSS；外部通信使用 HTTPS；密码用 bcrypt/scrypt/argon2 哈希；设置 CSP、HSTS、X-Frame-Options、X-Content-Type-Options 等安全头；会话 cookie 使用 httpOnly、secure、sameSite；每次发布前运行 npm audit。在生产或共享预发中新增认证流程、存储新敏感数据、新增外部集成、修改 CORS、添加文件上传处理、调整限流或授予提权角色前须先行批准。任何环境默认不得提交密钥、记录敏感数据、把客户端校验当安全边界、在生产禁用安全头、对用户数据使用 eval() 或 innerHTML。
能力示例：给出 SQL 注入防护（参数化查询）、密码哈希与会话管理、XSS 防护与 DOMPurify、资源属主授权检查、helmet 安全头与 CORS 限制、响应字段脱敏、Zod 边界校验、文件上传类型与大小限制、npm audit 分级处置决策树、限流配置、.env 与 .gitignore 密钥管理、安全审查清单与常见合理化反驳。
限制：规则为默认值，可被明确的用户指令、项目政策或功能设计文档覆盖，覆盖须刻意且限定于所述上下文。资料未提供具体定价、平台支持范围、安装命令或版本要求，相关内容暂未提供。