用途：在实现认证授权、处理用户输入或文件上传、创建 API 端点、使用密钥凭证、实现支付、存储或传输敏感数据、集成第三方 API 时启用，帮助代码遵循安全最佳实践并发现潜在漏洞。
主要能力：以清单与校验步骤形式覆盖十类主题——密钥管理（禁止硬编码，使用环境变量并校验存在）、输入验证（用 zod 等 schema 校验，限制上传大小/类型/扩展名，白名单校验，错误信息不泄露敏感内容）、SQL 注入防护（参数化查询，禁止字符串拼接）、认证与授权（令牌放 httpOnly cookie 而非 localStorage，敏感操作前校验权限，Supabase 启用行级安全 RLS）、XSS 防护（用 DOMPurify 净化 HTML，配置 CSP）、CSRF 防护（CSRF 令牌与 SameSite=Strict）、限流（对 API 及高开销操作设阈值）、敏感数据暴露（日志脱敏、对外返回通用错误）、Solana 区块链安全（验证钱包签名与交易细节）、依赖安全（npm audit、提交锁文件、npm ci）。
使用方式：按清单逐项核对并在部署前完成安全审查；提供自动化安全测试示例（认证返回 401、授权返回 403、非法输入返回 400、限流返回 429）。相关命令保持原样：npm audit、npm audit fix、npm update、npm outdated、git add package-lock.json、npm ci。
适用场景：Web/Next.js 与 Supabase 项目在开发与上线前的安全自查，尤其涉及认证、支付、文件上传与第三方集成时。
限制：资料未提供安装命令、具体支持的平台版本、定价或收费信息；内容以检查清单和示例为主，需结合项目实际验证，不能替代专业安全审计。