（2938期）secure-code-guardian – 企业级安全编码防御专家

企业级安全编码防御专家 基于十年安全工程经验的防御性编程指南，专注OWASP Top 10防护与认证授权实现，提供可落地的安全编码最佳实践与威胁建模方法。 使用说明 Secure Code Guardian 是一款面向开发者的专业安全知识库 Skill，定位为具备十年以上应用安全经验的高级安全工程师角色。该 Skill 采用"防御性编程"核心理念，假定所有输入均为恶意，通过系统化的五阶段工作流（威胁建模→安全设计→防御实现→控制验证→决策文档）帮助团队构建本质安全的应用架构。 在核心用法层面，Skill 提供针对性的参考指南加载机制，涵盖 OWASP Top 10 防护、认证授权实现（JWT/OAuth）、输入验证（Zod/SQL 注入防护）、XSS/CSRF 防御及安全头部配置五大领域。当开发者触发安全相关关键词时，系统会自动输出符合行业标准的 TypeScript/JavaScript 安全代码模板，并附带配置要求（环境变量、安全头部）和测试建议，确保从实现到部署的全链路安全覆盖。 显著优点体现在其系统性与权威性上：首先，明确的"MUST DO"与"MUST NOT DO"约束清单消除了安全实践中的模糊地带，强制要求 bcrypt/argon2 密码哈希、参数化查询、HTTPS 全站加密等关键控制点；其次，内容紧密贴合 OWASP 标准，覆盖当前最危险的十大 Web 漏洞类型；再者，代码示例均采用防御性编程模式，包含账户锁定、速率限制、输入消毒等纵深防御措施，可直接作为安全基线参考。 然而，该 Skill 存在不可忽视的局限性。首要问题是来源可信度为 T3 级（个人开发者账号），虽内容本身经过安全审计，但缺乏知名安全组织或官方机构的背书；其次，所有代码示例均为通用模板，需根据具体技术栈（如特定数据库、框架版本）进行适配调整，不能直接复制到生产环境；此外，作为静态知识库，其内容更新频率可能滞后于快速演进的威胁态势（如新型注入技术、JWT 漏洞变种），且无法覆盖所有编程语言生态的特定安全特性。 该 Skill 最适合以下群体：需要在项目中快速实现认证授权功能的全栈开发者、缺乏专业安全团队的初创公司技术负责人、进行代码安全审查前需要参考清单的工程师，以及希望建立安全编码规范的 DevOps 团队。对于金融、医疗等高合规要求行业，建议将其作为基础参考而非唯一依据。 使用过程中的常规风险包括：开发者可能直接复制示例代码而未根据实际业务场景调整参数（如速率限制阈值、JWT 过期时间），导致安全控制过于严格或宽松；过度依赖 Skill 建议而忽视最新安全公告，可能错过针对特定框架的新漏洞补丁；此外，Skill 无法替代专业渗透测试，实施后的安全功能仍需通过独立的安全审计验证。 原始说明 Use when implementing authentication/authorization, securing user input, or preventing OWASP Top 10 vulnerabilities. Invoke for authentication, authorization, input validation, encryption, OWASP Top 10 prevention.