用途：在安全检查或代码审查前，运行确定性的扫描，快速发现硬编码密钥、调试残留与待办标记。扫描不依赖 LLM 推理，使用者负责解读结果并给出修复建议。
主要能力：
- 密钥扫描：检测 API_KEY、SECRET、PASSWORD、PRIVATE_KEY、ACCESS_KEY、DATABASE_URL、JWT_SECRET、STRIPE_SK 等，并过滤 process.env、os.environ 等环境变量引用以降低误报。
- 调试残留扫描：检测 JS/TS 的 console.log/debug/warn 与 debugger，Python 的 print/breakpoint，Go 的 fmt.Println；默认跳过测试文件，可用 --include-tests 包含。
- TODO/FIXME 扫描：High 级含 FIXME、BUG、HACK、XXX，Low 级为 TODO。
使用方式： 一次性运行全部扫描： bash <skill-path>/scripts/parallel-audit.sh /path/to/project 返回合并的 JSON 报告，按类型与严重级别分类，并含 summary 计数与 high_priority 数量，可用于快速判断是否通过。 单次扫描： bash <skill-path>/scripts/scan-secrets.sh /path/to/project bash <skill-path>/scripts/scan-debug.sh /path/to/project bash <skill-path>/scripts/scan-debug.sh /path/to/project --include-tests bash <skill-path>/scripts/scan-todos.sh /path/to/project
结果处理建议：真实密钥应立即提醒用户、轮换凭据并改为环境变量；环境变量引用属误报可忽略；src/ 中的调试残留应在发布前移除并列出文件行号；测试中的调试残留通常可接受，仅在过多时提示；FIXME/HACK/XXX 作为当前 PR 或部署的阻塞项；TODO 仅作信息性计数，不阻塞。
限制：资料未提供安装方式、依赖、支持语言范围之外的细节、误报率或价格信息，暂未提供。