用途
Cloudflare Workers Security 属于安全与审计类技能，主要用于在 Cloudflare Workers 上构建 API 时引入安全防护。它面向需要为 Workers 与 API 增加认证、跨域控制、限流和输入校验的场景，同时也可用于排查认证失败等问题。
主要能力
技能围绕安全防护的多个方面展开：
安全检查清单与关键规则
提供五项速查清单：验证所有输入、认证请求、限制速率、添加安全响应头、使用仅 HTTPS 的 Cookie。关键规则包括：永不信任客户端输入、使用安全密钥（存放于 Wrangler secrets 而非代码中）、实现速率限制、设置安全响应头、正确使用 CORS（生产环境不要用 *）。
十大安全错误对照
以表格形式列出常见漏洞、症状与防范：缺少认证（未授权访问）、SQL 注入（数据泄露）、XSS（脚本注入）、CORS 配置错误、代码中泄露密钥、缺少速率限制、弱令牌、缺少 HTTPS、不安全响应头、权限过大。
认证模式
提供 JWT 校验函数示例：拆分 token、使用 crypto.subtle 导入 HMAC SHA-256 密钥、验证签名、解码 payload 并检查 exp 过期时间。提供 API Key 校验示例：读取 X-API-Key 头、对密钥做 SHA-256 哈希后存储与查找（不存明文）、在 KV 或 D1 中查询客户端。
输入验证
使用 Zod 定义 schema，对请求 JSON 进行 parse 校验，校验失败返回 400 并附带错误详情。
安全响应头
设置 X-Content-Type-Options、X-Frame-Options、X-XSS-Protection、Content-Security-Policy、Strict-Transport-Security、Referrer-Policy 等。
CORS 配置
基于白名单来源（ALLOWED_ORIGINS）设置 Access-Control-Allow-Origin、Methods、Headers、Credentials、Max-Age，非白名单来源不附加 CORS 头。
使用方式
技能按任务提供参考文档加载入口：实现认证加载 references/authentication.md；CORS 问题加载 references/cors-security.md；输入验证加载 references/input-validation.md；密钥管理加载 references/secrets-management.md；速率限制加载 references/rate-limiting.md；安全响应头加载 references/security-headers.md。
提供模板：templates/auth-middleware.ts（JWT/API key 认证）、templates/cors-handler.ts（CORS 中间件）、templates/rate-limiter.ts（速率限制）、templates/secure-worker.ts（完整安全配置）。
提供脚本 scripts/security-audit.sh，命令为 ./security-audit.sh <url>，用于审计安全性。
适用场景
适用于为 Cloudflare Workers 上的 API 添加认证（JWT / API Key）、处理跨域请求、防止滥用（限流）、校验用户输入，以及排查认证失败与配置安全响应头等任务。
限制
资料未说明该技能的具体安装方式、依赖版本、价格或授权信息。部分示例（如速率限制器实现、KV/D1 绑定细节、审计脚本的具体检测逻辑）在给定资料中未完整展开。