用途
Bug Audit 是一个面向 Node.js Web 项目的综合缺陷审计技能。当用户要求审计、审查、检查缺陷、查找漏洞，或对项目进行安全/质量审查时激活。它的核心理念是“先解剖，再验证”：不运行通用检查清单，而是阅读代码、提取每一个可审计实体，然后对每一项进行穷尽式质疑。
主要能力
该技能分为六个阶段。
阶段一：解剖（约 10-15 分钟）。阅读所有项目文件，构建 7 张表，这些表本身就是审计的核心，所有发现都会在阶段二验证：
- 表 1 API 端点：对服务端每个路由记录方法、路径、是否需要认证、参数是否校验、前置条件、返回值、攻击向量，并追问能否未认证调用、能否传入 0/负数/NaN/超大数/数组/对象、能否跳过前置 API 直接调用、高频调用会怎样、响应是否泄露敏感数据。
- 表 2 状态机：对每个布尔/枚举状态变量记录设置者、读取者、初始值、重置时机、是否跨生命周期泄漏，并追问会话结束后是否重置、立即开新局是否受旧状态影响、设置者之间是否存在竞态。
- 表 3 定时器：对每个 setTimeout/setInterval 记录类型、延迟、创建位置、清除位置、生命周期提前结束时的行为，并追问句柄是否保存、结束后是否仍触发、触发时是否引用已销毁对象。
- 表 4 数值：对每个用户可影响的数字记录来源、是否校验、最小值、最大值、为 0 或负数时的行为，并追问服务端上限是否合理、客户端值是否被服务端信任、是否存在浮点精度问题。
- 表 5 数据流（关键）：对每对相关 API（购买→使用、开始→完成、支付→交付、登录→操作）记录两步之间是否有令牌/链接、能否跳过第一步、能否重放第一步，并追问能否不调用第一步直接调用第二步、能否第一步一次而第二步多次、是否有一次性令牌、能否第一步 cost=0 而第二步高奖励。
- 表 6 资源账本：对每种资源记录所有流入、所有流出、每日限制、是否存在无限流入，并追问是否有无成本流入、流出能否为负、保险箱物品是否排除在所有流出之外、是否存在循环套利。
- 表 7 并发热点（TOCTOU）：对每个先读后写共享状态的操作记录读步骤、写步骤、是否原子、两个请求同时到达会怎样，并追问读后写是否原子、两个并发请求能否都通过检查并都执行写入、是否有互斥锁/事务、多步流程中请求 A 处于中间步骤时请求 B 能否启动同一流程。
阶段二：验证（主审计）。遍历每张表的每一行，判定为：严重（可利用的安全漏洞、数据丢失、崩溃）、中等（逻辑错误、不一致、性能问题）、轻微（代码质量、边界情况、UX 问题）或通过（已验证正确）。输出格式为：Bug N: [严重/中等/轻微] 简述，包含行号、原因、修复、文件。原则是穷尽而非启发式，直到每一行都被验证或标记才停止。
阶段三：红队/蓝队。验证完所有表后切换到对抗模式，参考 references/redblue.md 的完整手册。手册包含四部分：通用攻击链（5 条，适用于所有项目：认证绕过、注入、速率滥用、数据泄露、并发/竞态）；类型专属攻击链（按项目类型选择：游戏、数据工具、API 服务、机器人、微信、平台）；蓝队防御（对每个发现验证预防→检测→遏制→恢复四层）；执行指南。执行方式：从阶段一识别项目类型，运行全部 5 条通用链，运行匹配的类型专属链，对每个严重发现验证全部 4 层蓝队防御，对每个中等发现至少验证第 1 层（预防）。
阶段四：补充。红蓝队之后运行通用检查作为最终安全网，参考 references/modules.md 选择匹配项目的模块：安全（CORS、XSS、SQLi、暴力破解）、加密（硬编码密钥、弱哈希、明文存储、不安全随机）、数据（时区、原子操作、浮点精度）、性能（内存泄漏、热路径）、游戏（状态守卫、渲染、配置）、微信（ES6 兼容、CDN、调试）、API（接口标准、限流）、机器人（超时、去重、敏感词）、部署（PM2、nginx、SSL、SDK 覆盖）、错误处理（网络错误、服务器错误、优雅降级）、UX 健壮性（错误状态、边界 UX）、供应链（npm audit、依赖漏洞、锁文件完整性）、日志（安全事件日志、审计追踪完整性）。
阶段五：回归 + 验证。检查修复是否引入新缺陷；模块化拆分后验证跨文件变量/函数可达性；实时冒烟测试：首页返回 200、关键 API 返回 JSON、登录可用、核心功能正常。
阶段六：归档。更新项目文档，记录日期、构建的表、发现/修复的缺陷、下次审计的关键陷阱。
使用方式
该技能以技能包形式提供，包含主流程说明和三个参考文件：references/modules.md（阶段四通用审计模块）、references/redblue.md（阶段三红队攻击链与蓝队防御验证手册）、references/pitfalls.md（来自 200+ 缺陷的真实陷阱速查表，以及微信 WebView 远程调试技巧）。具体安装命令与调用方式暂未提供。
适用场景
适用于对 Node.js Web 项目进行安全与质量审查，尤其是包含用户系统、API 服务、游戏逻辑、资源经济、并发操作的项目。也覆盖微信 WebView、机器人、平台类项目。
限制
该技能面向 Node.js Web 项目，其他技术栈的适用性暂未提供。具体收费、价格、平台支持等信息暂未提供。