用途：在代码发布前做安全审查，扫描常见漏洞并按严重级别给出结论。存在 CRITICAL 或 HIGH 问题时阻止部署。
主要能力：依次执行 10 项检查。1）硬编码密钥（CRITICAL）：扫描 API key、密码、token、含凭据的连接串、私钥等模式，即使没有 .env 也照常扫描。2）SQL 注入（CRITICAL）：检测字符串拼接式数据库查询。3）XSS（HIGH）：检测未净化输入的 dangerouslySetInnerHTML、innerHTML、eval、未转义的 res.send。4）不安全认证（HIGH）：如用 jwt.decode 代替 jwt.verify、缺少 expiresIn、弱密钥、生产环境禁用 HTTPS、缺少 CSRF、明文或 MD5/SHA1 存密码。5）IDOR（HIGH）：按 ID 取数据未校验归属、用户输入直接作文件路径。6）敏感数据暴露（MEDIUM）：响应含密码哈希、日志打印敏感字段、返回 err.stack、遗留调试端点、未脱敏 PII。7）依赖漏洞（MEDIUM）：检查 package.json/requirements.txt 中已知易受影响版本，并建议 npm audit 或 pip-audit。8）环境变量暴露（MEDIUM）：NEXT_PUBLIC_ 前缀泄露密钥、客户端访问服务端变量、.env 被提交。9）路径穿越（MEDIUM）：拼接用户输入读文件未校验基准目录。10）限流缺失（LOW）：登录/认证与公开 API 无限流。
使用方式：逐项执行检查，用 grep 收集 file:line 结果，标注严重级别与具体修复建议；跳过 .env、.env.local、.env.、node_modules/、.test.*。发现 CRITICAL 立即报告，不必等其余检查完成。按固定报告格式输出各级发现、通过项与 VERDICT；扫描后把状态写入 progress.txt。BLOCKED 时回到 vibe-coding-build 修复，不得进入部署；APPROVED 时带报告摘要回到 vibe-coding-ship。
限制：资料未提供具体安装命令、运行环境要求、支持的完整语言范围与性能指标；检查项与修复建议以资料所列模式为准。