用途：指导构建或扩展浏览器端 Web 应用（非原生移动端），包括认证流程、会话与令牌处理、UI 与 HTTP API 对接、CORS/Cookie/CSRF/缓存问题，以及 SSR、SPA 或混合（如 Next.js）路由与数据加载。不适用于原生 iOS/Android 或桌面客户端、纯基础设施与流水线、仅做 UX 探索与线框图、组织级安全项目、跨服务 RFC。
主要能力与工作流：1）明确渲染模型——SSR/混合适合 SEO、首屏快、需登录的仪表盘；SPA 适合重客户端交互、登录后应用；静态+API 适合营销站与独立应用子域；需记录路由、鉴权门、全局布局与错误边界。2）HTTP API 集成——使用类型化客户端或 OpenAPI 生成类型；401 时刷新或跳转登录；仅对幂等 GET 做超时与重试；列表接口分页，避免浏览器加载无界数据。3）浏览器认证——会话 Cookie 优先 HttpOnly、Secure、SameSite；或内存中短期访问令牌加刷新轮换；高风险应用勿将密钥存 localStorage；使用 Cookie 时对状态变更路由加 CSRF 令牌。4）表单与上传——客户端校验改善体验，服务端校验必需；文件用 multipart/form-data，处理进度与大小限制；清理文件名，按策略做服务端扫描。5）安全基线——输出转义，避免未净化使用 dangerouslySetInnerHTML；设置 CSP 限制脚本来源；CORS 显式允许来源，带凭证时不可用 *；配置 HSTS、X-Frame-Options 或 frame-ancestors。6）测试与发布——单元测试校验器、hooks、API 映射；集成测试 API 路由配测试数据库；E2E 覆盖登录与一条关键路径（Playwright/Cypress）；部署后在预发 URL 做冒烟测试。
参考文档：架构与环境见 references/web_app_architecture.md；API 客户端见 references/api_integration.md；登录与会话见 references/auth_sessions.md；CSRF、CSP、CORS 见 references/web_security.md。相关技能包括 fullstack-software-engineer、senior-fullstack-developer、senior-frontend-software-engineer、ui-software-engineer、product-designer、devops、devsecops。限制：资料未提供具体安装命令、收费与价格、平台支持范围及效果数据。