用途：帮助独立开发者保护 SaaS 应用的代码与数据，覆盖认证实现、用户数据保护、API 安全与漏洞排查。合规（HIPAA、SOC 2、GDPR）请用 compliance，上线前检查用 go-live，环境变量配置用 deploy，数据库行级安全用 database。
主要能力：提供安全检查清单（受保护路由需认证、密码用 bcrypt/argon2 哈希、密钥放环境变量、生产强制 HTTPS、服务端输入校验、参数化查询防 SQL 注入、转义防 XSS、表单 CSRF 令牌、API 限流、会话 30 分钟至 1 小时过期）；列出常见漏洞（代码中暴露密钥、无限流、缺认证、SQL 注入、XSS）；给出可直接粘贴给 AI 的提示词模板，用于加认证、限流（如 100 请求/分钟/IP，超限返回 429）、输入校验、日志脱敏（用 [REDACTED] 替换密码与令牌）。
使用方式：在 Claude Code、Lovable、Replit、Cursor 等工具中粘贴提示词，让 AI 审计并修复问题。认证建议用 Supabase Auth、NextAuth.js 或 Clerk，不要自建。测试可用 grep -r "api_key" src/ 检查密钥泄露，手动访问受保护路由验证认证，快速请求接口验证限流。
适用场景与限制：适合 MVP 与早期产品。资料建议未获得付费客户前不做 OAuth/SSO，用户不足 1000 或非敏感数据前不买渗透测试，不自行搭建 WAF（托管平台已处理）。涉及直接处理支付、健康/财务数据、多租户隔离或超 1000 用户时，建议寻求专家审计。具体实现细节见 COMMON-VULNS.md 与 SECURITY-PROMPTS.md。