用途：面向 Web 应用开发的安全最佳实践参考，帮助识别并防范常见漏洞，覆盖 OWASP Top 10 及认证、授权、输入校验、加密与安全编码模式。
主要能力：围绕 OWASP Top 10 给出“反面示例/BAD—正面示例/GOOD”的对照做法，包括注入（SQL、NoSQL、命令）改用参数化查询或 ORM、避免 shell 调用并传数组、类型校验；认证方面使用 bcrypt 哈希、Redis 会话存储、secure/httpOnly/sameSite Cookie 与限流；敏感数据不外泄日志并对静态数据做 aes-256-gcm 加密；XXE 禁用外部实体；越权（IDOR）校验归属并做基于角色的访问控制；安全配置使用 helmet 安全头、CSP、HSTS、禁用 x-powered-by、错误不泄露堆栈；XSS 使用 DOMPurify 与输出编码；不安全反序列化使用 Ajv 校验；依赖漏洞使用 npm audit、npx snyk test、npx npm-check-updates -u、npm ci；日志与监控覆盖安全事件。另含 JWT 短效访问令牌与刷新令牌、OAuth 2.0/OIDC 的 PKCE 与 state、Zod 输入校验、CSRF 保护，以及应用、基础设施、开发三方面的安全检查清单。
使用方式：作为编码时的参考规范，在实现认证、授权、输入处理、加密、日志等环节按示例替换不安全写法；检查依赖时运行 npm audit、npm audit fix、npx snyk test、npx npm-check-updates -u、npm ci。
适用场景：Web 应用与 API 的开发、代码审查、安全加固及上线前检查。
限制：资料未提供该技能的具体安装方式、收费、版本与平台兼容信息；示例以 JavaScript/Node.js 生态为主，其他语言需自行对应；示例代码仅作示范，实际部署需结合环境验证。