用途：verify-security 用于对代码做安全验证，检查安全反模式与漏洞。所有分析在本地进行，代码不会离开本机。当用户要求“verify agent security”“verify security”“check for secrets”“scan for vulnerabilities”“security audit”时触发。若需包含模式、质量和语言特定检查的完整验证，可提示用户说“verify agent”。
主要能力：先发现待分析文件，包括 package.json、pyproject.toml、Cargo.toml、.env.example、.gitignore、config.py、settings.py、config.ts 等配置，以及 .py、.ts、.js、.go、.rs 源码，优先名称含 auth、api、client、secret、config 的文件；排除 node_modules、.venv、venv、pycache、测试文件，且绝不打开 .env、.env.local、.env..local，只检查其是否被 gitignore。随后执行检查：硬编码密钥（API_KEY、SECRET、PASSWORD、TOKEN、PRIVATE_KEY、AWS 密钥等赋值为字符串字面量，以及 sk-、sk-ant-、AKIA、ghp_、xoxb- 等模式）；依赖版本固定（requirements.txt、pyproject.toml、package.json 中未固定或使用 >=、*、latest 等）；输入验证（用户输入直接进入数据库查询、路径拼接、无模式校验的 JSON 解析）；错误信息暴露（堆栈、数据库错误、内部路径、生产 debug）；安全默认值（CORS 通配、verify=False、debug=True、cookie secure=False、CSRF 关闭）；敏感数据日志（密码、令牌、API 密钥、PII、卡号、会话令牌）。检查分 [PATTERN] 机械匹配与 [HEURISTIC] 需判断两类，每条发现带 [P] 或 [H] 标记。最后生成报告，含摘要、各检查项通过/警告/问题、发现位置、风险与修复建议。
使用方式与限制：作为技能触发，按上述流程执行并输出报告。资料未提供安装命令、收费、价格、平台支持范围或具体运行命令；分析范围限于本地可发现的文件，启发式检查需人工判断，结果不保证覆盖全部漏洞。