用途：为生产 Web 应用提供跨前后端与 API 的浏览器侧安全规范，覆盖 CSRF、XSS、CSP、Cookie、会话、认证、JWT、OAuth 2.1、CORS、安全响应头、SSRF 与供应链安全。内容依据 OWASP 备忘单（2024）、Google BeyondCorp、Stripe 安全模式、Cloudflare 生产配置、Mozilla Web 安全指南、Auth0/Okta 最佳实践、OAuth 2.1 草案（2025 年 1 月）与 RFC 9700。
主要能力：给出 OWASP API 安全 Top 10（2023）速查；CSRF 采用签名式双提交 Cookie（HMAC 绑定会话）、Fetch Metadata 校验、自定义请求头、SameSite=Lax 与 Origin/Referer 检查，并强调 XSS 会击穿所有 CSRF 防护；XSS 按 HTML 正文、属性、JS 字符串、URL、CSS 等上下文编码，禁用危险上下文，React 需注意 dangerouslySetInnerHTML 与 href 校验，可用 Trusted Types 与 DOMPurify；CSP 推荐 nonce + strict-dynamic、object-src 'none'、base-uri 'none'、frame-ancestors 'none'，用 Report-Only 先观察 1-2 周；Cookie 推荐 __Host- 前缀、Secure、HttpOnly、SameSite=Lax，认证令牌存 HttpOnly Cookie 而非 localStorage；会话要求 128 位熵、登录等场景重生成 ID、服务端销毁登出、按 IP/User-Agent 异常触发二次认证；密码遵循 NIST SP 800-63B，用 Argon2id/bcrypt/scrypt，做账号级限速与统一失败响应；JWT 用 RS256/ES256、强制校验 iss/aud/exp 等、访问令牌 15-30 分钟并支持吊销；OAuth 2.1 删除隐式与 ROPC 授权，要求所有客户端使用 PKCE（S256）、精确重定向 URI、刷新令牌轮换。
使用方式与限制：资料未提供安装命令或具体调用步骤，命令示例暂未提供。该技能界定“该强制执行什么及原因”，具体实现需参考配套的 Rust、TypeScript 与 API 设计技能。原文在中途截断，SSRF、安全响应头、输入校验与供应链安全等章节的细节暂未提供。