用途：审查 AWS CDK 拉取请求中由该 PR 引入的安全暴露，包括权限过宽、访问面扩大、防护被削弱或密钥泄露。范围仅限本次改动新增的暴露，不重新审计既有安全状况；已存在且只是被移动的通配符不算发现。
主要能力：按四类检查改动面——IAM 最小权限（含信任策略的混淆代理问题）、网络与资源访问、密钥与凭据、安全默认值。对每条规则同时检查“存在且违规”和“应有但缺失”的控制项。发现按影响定级为 BLOCKING/RECOMMENDED/OPTIONAL，具体暴露不因不确定调用方能否触达而降级。
使用方式：先识别改动新增或修改的安全敏感面及其类型（IAM 策略/授权、信任策略、KMS 密钥策略、资源/网络策略、默认值、密钥形态属性），再读取 security-rules.md 作为检查清单；在标记某操作允许范围、服务真实默认姿态或条件键是否适用前，必须查阅权威 AWS IAM/服务/CloudFormation 文档确认，不凭记忆。逐族检查改动，按危害定级，能说出具体暴露、一条现实触达路径并引用规则后即停止。输出需填充结构化发现字段，message 为完整评论（观察、影响、具体修复、内联引用的指南文件与章节），类别取 IAM 最小权限、网络与资源访问、密钥与凭据、安全默认值之一。
适用场景：CDK 仓库的 PR 安全评审。
限制：不负责正确性、回归风险、破坏性变更、与 diff 行无关的通用安全建议；后缀通配符动作（如 s3:GetObject*）可接受，全服务 s3:* 才是发现；已限定范围的 grant* 辅助方法及未改动的权限/默认值不报；无相邻标签写授权的良性 ABAC 标签门、不授予 IAM 变更动作的普通角色均不算发现。多数评论并非真实安全发现，改动面干净时应不报告。需配合 cdk-review-principles 使用其定级、证据与引用顺序、file:line 规范、发现格式与评论预算。