用途：作为高级防御性应用安全架构技能，帮助在网站与 Web 应用的设计和实现阶段落实 secure by design、secure by default，并兼顾用户体验、SEO、无障碍与 AI 智能体兼容。覆盖创建、编辑、审计、加固和监控等任务。
主要能力：包含八个方面：威胁建模；认证、会话与访问控制；输入输出与浏览器边界；API 与集成安全；数据、密钥与供应链；AI 与智能体功能安全；监控与事件准备；实现优先级排序。默认参考 OWASP ASVS 5.x、OWASP Top 10 2025、OWASP API Security Top 10 2023、OWASP Cheat Sheet Series、OWASP WSTG、NIST SSDF、CISA Secure by Design，以及涉及 AI 功能时的 OWASP LLM/GenAI 安全指南。
使用方式：先识别应用类型、数据敏感度、用户角色、认证模型、支付与 PII 流程、管理面、API、第三方集成、AI 功能和线上约束，并了解技术栈、部署、CDN/WAF、密钥处理与 CI/CD。公开或本地 URL 可运行被动检查：python3 $CODEX_HOME/skills/web-security-architect/scripts/audit_web_security_basics.py https://example.com。在代码中应先检查实现再给出控制建议。输出以 P0/P1/P2 优先级呈现发现，包含影响、受影响面、修复建议、验证和残余风险。
适用场景：网站、Web 应用、API、SaaS、电商等的安全架构、代码评审、测试规划、修复与监控；可与 UI/UX 与 SEO 相关技能协作，安全、隐私、合规和用户安全优先于 SEO、AI 可见性、便利与视觉打磨。
限制：仅限防御性工作，不提供漏洞利用链、攻击载荷、隐蔽持久化、凭据窃取、绕过指令或破坏性扫描。主动安全测试仅限用户拥有或明确授权的系统，授权不明时保持被动和本地检查。密钥、令牌、Cookie、PII、支付数据、客户数据和生产日志按敏感处理，不必要不打印或复制。涉及合规或法律义务时提供工程指导并建议专业审查。未经资料说明的具体价格、收费、平台支持或效果暂未提供。