用途：security-auditor 是面向代码安全审查的技能，在代码文件（尤其是认证、API、数据库相关）被修改、用户提及安全或漏洞、部署或提交前、依赖变更、配置文件变更时激活，自动检测安全漏洞模式。
主要能力：扫描 OWASP Top 10 模式，包括 SQL 注入、XSS、认证问题（如弱 JWT 密钥）、敏感数据暴露、失效的访问控制；还检查不安全的反序列化、安全配置错误、日志不足、缺少 CSRF 防护、CORS 配置错误。告警格式包含严重级别、位置、修复建议和 OWASP/CWE 参考链接。严重级别分为 CRITICAL、HIGH、MEDIUM、LOW。可对依赖运行安全审计：Node.js 使用 npm audit，Python 使用 pip-audit，结果按严重级别标记。
使用方式：作为技能自动触发，无需手动调用；可与 secret-scanner 技能配合覆盖代码模式与密钥泄露，也可通过 /review --scope staged --checks security 与 @code-reviewer 子代理联动，后者提供含威胁建模的深度审计。支持沙箱与非沙箱环境；依赖扫描可选配置网络允许域名 registry.npmjs.org、pypi.org、api.github.com。可通过复制技能目录并编辑 SKILL.md 添加公司内部 API 模式、安全策略和自定义漏洞检查。
适用场景：代码审查、部署前检查、提交前检查、依赖变更和配置变更时的安全把关。
限制：资料未提供具体支持的编程语言范围、误报率、性能开销、价格或收费信息，暂未提供。