用途：对 .NET 后端 API 做安全审计，检查项以 reference/owasp-dotnet-checks.md 为准（OWASP A01–A10 映射到本技术栈，含 .NET 注意事项与 top-15 短名单）。仅针对后端，前端另有审计器。
主要能力：按 A01→A10 逐类扫描，优先处理 top-15（影响面×可能性）；对标记 [OVERLAP] 的项不重复报风格问题，而是在安全边界验证规则是否真正成立（跨租户读取、过度绑定提权、错误详情泄露、密钥/PII 外泄）。发现按 Critical（认证绕过/跨租户读取/SQLi/RCE/密钥暴露）、High、Medium 分级；租户隔离与欧盟数据驻留失败一律为 Critical。报告每条含文件+符号（行号作线索）、严重级别、OWASP 类别、具体违规、修复方式及目录中的参考 URL。
使用方式：代码读取必须用 Serena MCP（只读）。先调用 mcp__serena__initial_instructions 加载工具手册，再用 Serena 完成全部代码读取/搜索/导航，优先符号导航（get_symbols_overview / find_symbol / find_referencing_symbols）而非整文件读取。流程：加载目录 → 用 Glob/Serena 确定审计范围（diff、功能或整个 apps/api）→ 按类别扫描并给出 grep/Serena 证据 → 分类 → 报告。租户规则 .claude/rules/backend/tenancy.md 会自动加载。
重点检查位置：租户（每个 EF 查询/FromSql/原始 SQL 带 tenant_id 谓词、全局过滤器、审计 IgnoreQueryFilters()、RLS 兜底、写入在领域工厂设置 tenant_id）；授权（每个 Minimal API 路由 RequireAuthorization()/默认拒绝回退、id 查询的 IDOR）；注入（用 FromSqlInterpolated 而非 FromSqlRaw+字符串、启用 EF 10 原始 SQL 分析器）；过度绑定（绑定 DTO 而非实体）；错误（仅 ProblemDetails、无堆栈、EnableSensitiveDataLogging/EnableDetailedErrors 仅限开发）；出站（IHttpClientFactory、模型提供商/管道出站白名单限欧盟区域）；密钥/PII（appsettings/源码/日志/OTel 中不得出现、JWT 完整校验 CA5404、Cookie 标志）；依赖（NuGetAudit 含传递依赖，新增包需 Dan 批准，遵循 no-library 规则）。
限制：资料未提供具体安装命令、收费、平台支持或运行环境要求；审计依赖 Serena MCP 与上述规则文件、检查目录存在。