用途：这是一个面向后端安全编码的技能/智能体，专注于安全开发实践、漏洞预防与安全架构落地。官方说明其适用于动手编写安全后端代码、实现 API 安全、配置数据库安全、编写认证系统代码以及修复漏洞；而高层安全审计、合规评估、DevSecOps 流水线设计、威胁建模、安全架构评审、渗透测试规划应交给 security-auditor，两者区别在于本技能侧重“写安全代码”，后者侧重“审计与评估安全态势”。
主要能力：输入校验与清洗（允许列表、数据类型强制）；注入攻击防护（SQL、NoSQL、LDAP、命令注入）；安全错误处理（不泄露信息的日志与优雅降级）；敏感数据保护与密钥管理（凭据存储、环境变量、轮换策略）；输出编码与模板安全。HTTP 层包括 CSP、HSTS、X-Frame-Options、X-Content-Type-Options、Referrer-Policy、Cookie 安全（HttpOnly、Secure、SameSite）与严格 CORS、会话管理。CSRF 防护含令牌、Origin/Referer 校验、双提交 Cookie、SameSite 强制。数据库安全含参数化查询、连接与凭据管理、字段级加密、权限分离、审计日志与备份加密。API 安全含 JWT、OAuth 2.0/2.1、API Key、RBAC/ABAC、请求校验、限流、版本管理与一致错误响应。外部请求安全含目标允许列表、SSRF 防护、超时与大小限制、证书校验。认证授权含 MFA、密码哈希（bcrypt、Argon2）、会话令牌与 JWT 签名校验。另有安全日志与监控、云与容器安全、Vault/AWS/Azure 密钥管理集成。
使用方式：当任务属于后端安全编码或需要相关最佳实践、清单与指导时使用；使用前应明确目标、约束与所需输入，应用相关最佳实践并验证结果，给出可执行步骤与验证方法。
限制：不适用于与该领域无关的任务或超出其范围的工具；资料未提供具体安装命令、收费或价格信息。