用途：这是一个面向后端开发的技能，用于把安全实践落到代码层面，覆盖输入校验、认证授权、API 安全、数据库保护与安全错误处理，目标是构建能抵御常见攻击的后端应用。
主要能力：输入校验与白名单、注入攻击（SQL/NoSQL/LDAP/命令）防护、安全错误处理与日志脱敏；HTTP 安全头与 Cookie 安全（CSP、HSTS、X-Frame-Options、HttpOnly、Secure、SameSite、CORS、会话管理）；CSRF 防护（令牌、Origin/Referer 校验、双重提交 Cookie）；输出渲染安全（上下文编码、模板、JSON、XML/XXE、文件下载与路径穿越）；数据库安全（参数化查询、连接与凭据管理、字段级加密、权限分离、审计日志、备份加密）；API 安全（JWT、OAuth 2.0/2.1、RBAC/ABAC、请求校验、限流、错误响应）；外部请求安全（目标白名单、SSRF 防护、超时与大小限制、证书校验、代理安全）；认证授权（多因素、bcrypt/Argon2、会话与 JWT、PKCE）；日志与监控（安全事件日志、防日志注入、审计追踪、SIEM 集成）；云与基础设施安全（环境变量、容器、密钥管理 Vault/AWS Secrets Manager/Azure Key Vault、VPC 与最小权限）。
使用方式：在涉及后端安全编码、API 安全实现、认证系统开发、数据库安全配置或漏洞修复时使用。先明确目标、约束与所需输入，再套用相关最佳实践并验证结果，给出可执行步骤与验证方法。需要详细示例时查看 resources/implementation-playbook.md。若任务与后端安全编码无关，或属于高层审计、合规评估、DevSecOps 流水线设计、威胁建模、架构评审、渗透测试规划，则应改用 security-auditor。
适用场景：实现安全认证与令牌轮换、修复 API 注入漏洞、配置 CSRF 与安全头、参数化数据库访问、限流与对外部服务集成白名单等。
限制：输出不能替代针对具体环境的验证、测试或专家评审；若缺少必要输入、权限、安全边界或成功标准，应停下来先确认。