用途：为部署在 Cloudflare 上的 Astro 获客（lead generation）网站提供一套安全模式与上线前检查清单，适用于任何生产环境获客站点。
主要能力： 表单安全：每个表单必须配置 Cloudflare Turnstile（隐形模式）、蜜罐隐藏字段（填写即拒绝）、限流（每 IP 每小时最多 5 次提交）、服务端 Zod 校验（不信任客户端）、输入清洗（去 HTML、去空白）。 安全响应头：在 _headers 中设置 X-Content-Type-Options: nosniff、X-Frame-Options: DENY、X-XSS-Protection: 1; mode=block、Referrer-Policy: strict-origin-when-cross-origin、Permissions-Policy: camera=(), microphone=(), geolocation=()、Strict-Transport-Security: max-age=31536000; includeSubDomains 及 CSP。CSP 要求：禁止内联脚本（除非带哈希）、script-src 仅限必要域名、先以 report-only 测试再强制执行。 机器人防护：Cloudflare 免费层开启 Bot Fight Mode、安全级别 Medium、Challenge Passage 30 分钟；应用层叠加 Turnstile、蜜罐、按 IP 限流，可选拦截空 referrer。 环境变量：提交 .env.example（含 TURNSTILE_SITE_KEY、TURNSTILE_SECRET_KEY、RESEND_API_KEY、GOOGLE_SHEETS_ID），.env 加入 .gitignore；密钥不得暴露到客户端，仅用 import.meta.env 暴露公开变量，构建时校验所有环境变量。 GDPR：非必要 Cookie 前显示 Cookie 横幅、隐私政策页、营销用途的表单同意勾选、数据保留政策、删除权流程；Cookie 分为必要（无需同意）、分析（需同意，如 GA4、Hotjar）、营销（需同意，如 Meta Pixel、Google Ads）。 其他：第三方脚本用 SRI 完整性哈希、异步/延迟加载并精简；文件上传限 5MB、白名单类型、重命名、存于 webroot 之外；预发布环境用密码保护或 Cloudflare Access 并加 noindex、robots.txt 屏蔽；错误信息不得泄露堆栈或内部细节，API 返回通用提示，仅开发环境显示详细错误；定期清理依赖与第三方访问。
使用方式：按技能内规则逐项配置，并参照 references/forms.md、references/headers.md、references/gdpr.md 获取表单模式、CSP 与响应头、GDPR 细节。
限制：资料未提供具体安装命令、版本要求、价格或平台支持范围；上述规则为强制项，违反即视为失败（FAIL）。