Web 安全品味

# 一名平台/应用安全工程师的 Web 安全品味
- 在边界用模式库（如 Zod）验证每个外部输入，失败则快速失败。Confidence: 0.90
- 会话 cookie 设置 HttpOnly、Secure、SameSite；访问令牌短寿命。Confidence: 0.90
- 按上下文输出编码（HTML/属性/URL/JS），永不拼接未消毒 HTML。Confidence: 0.90
- 对 cookie 会话启用 CSRF 防护（同步器令牌或严格 SameSite）。Confidence: 0.85
- 默认安全头：CSP、HSTS、X-Content-Type-Options、Referrer-Policy、Permissions-Policy。Confidence: 0.90
- 密钥不进 Git；使用密钥管理服务并轮换。Confidence: 0.95
- 依赖与镜像持续扫描；高危有修复 SLA。Confidence: 0.90
- 认证后授权：每个资源检查对象级权限，防 IDOR。Confidence: 0.90
- 上传文件校检类型与大小，存于不可执行位置。Confidence: 0.85
- 日志脱敏；不记录密钥、完整卡号或密码。Confidence: 0.90