用途：该技能用于在编写代码阶段实时检测潜在危险编码模式，基于 Anthropic 官方 security-guidance 插件实现，可在 PR 审查、安全审计或被 code-reviewer 技能标记时调用。
主要能力覆盖七类风险：命令注入（GitHub Actions 工作流注入、Node.js 子进程、Python 系统命令）、动态代码执行（eval、new Function、字符串形式的 setTimeout/setInterval）、DOM 型 XSS（React dangerouslySetInnerHTML、innerHTML、document.write）、不安全反序列化（pickle.loads、eval 解析 JSON）、SQL 注入（字符串拼接查询）、路径遍历（未净化文件路径）。检测规则中，eval(、new Function(、字符串拼接的 exec、SQL 模板字面量等为 CRITICAL 并阻断，dangerouslySetInnerHTML、innerHTML=、shell:true 的 spawn 等为 HIGH 并警告。命中后输出文件位置、检测到的模式、风险说明与安全替代建议。
使用方式：在编码或审查时主动调用；技能会先检查项目专属经验文件，可选执行 cat .specweave/skill-memories/security-patterns.md 查看已有项目学习记录。
限制：部分模式可能误报，如配合 DOMPurify 的 dangerouslySetInnerHTML、构建工具中非用户输入的 eval、硬编码命令的 exec 风险较低，需结合上下文判断。具体安装命令、价格与支持平台资料未提供。