用途：为 SaaS 应用提供一套可执行的安全基线，适合在构建认证、处理用户数据或部署功能时对照使用，帮助独立开发者避免常见漏洞。
主要能力：提供安全基础清单（受保护路由需认证、密码用 bcrypt/argon2 哈希、密钥放环境变量、生产环境强制 HTTPS、服务端输入校验、参数化查询防 SQL 注入、转义防 XSS、表单加 CSRF 令牌、API 限流、会话过期）；认证最低要求（密码 8 位以上含数字与符号、bcrypt 10 轮以上、邮箱验证、仅通过邮件重置密码、30-60 分钟空闲过期、登出彻底清除会话）；数据保护（密码哈希而非加密、支付信息交给 Stripe 不存卡号、加密 PII、日志中禁止记录密码/卡号/密钥/会话令牌，用 [REDACTED] 替换）；API 安全（认证检查、限流如每 IP 每分钟 100 次、输入校验、错误信息不泄露细节）；上线前审查（密钥入环境变量、强制 HTTPS、数据库备份、全 API 限流、错误页不显示堆栈、保护管理路由、校验上传文件类型与大小、CORS 不用通配符）。
使用方式：按清单逐项核对；将资料中的提示词交给 AI 编码助手，例如要求为路由添加 JWT 认证并在缺失时返回 401、添加滑动窗口限流并在超限时返回 429、校验邮箱/密码/用户名格式。测试可用 grep -r "api_key" src/ 与 grep -r "password" src/ 检查密钥泄露，尝试未登录访问受保护路由应返回 401，快速请求接口应得到 429。
适用场景与限制：适合 MVP 与早期 SaaS 项目；若直接处理支付、存储健康或财务数据、多租户数据隔离、用户超 1000 或处理敏感 PII，建议寻求专业安全审计。资料未提供具体价格、平台支持范围与完整实现代码。