用途：对代码库和基础设施做安全审计，扫描依赖漏洞、检测硬编码密钥与凭据、按 OWASP Top 10 检查代码模式、验证 SSL/TLS 配置、审计文件与目录权限，并检查认证授权模式，可用于安全审查或合规审计前的准备。
主要能力： 依赖漏洞扫描：Node.js 用 npm audit、npm audit fix、npx audit-ci --high；Python 用 pip-audit、safety check；Go 用 govulncheck ./...；Rust 用 cargo audit；通用可用 trivy fs .、trivy image myapp:latest。 密钥检测：用 grep 匹配 AWS 密钥、通用 API key/token、私钥、配置中的密码、含凭据的连接串、JWT；可扫描 git 历史，并提供 pre-commit 钩子示例阻止含密钥的提交。 OWASP Top 10 模式：检查注入（SQL/命令）、认证缺陷、XSS、越权直接对象引用、安全配置错误（CORS 通配、调试模式、详细报错）。 SSL/TLS：用 openssl s_client 检查证书、有效期、支持的 TLS 版本与弱加密套件，验证证书链，并检查代码中是否禁用证书校验。 文件权限：查找全局可写文件、异常可执行文件、敏感文件权限、SUID/SGID 及 SSH 目录权限。
使用方式：按语言或场景执行对应命令；资料还提供完整审计脚本 security-audit.sh，依次执行密钥检测、依赖审计、.gitignore 覆盖、SSL 校验、CORS 与调试模式检查，并汇总问题数。
适用场景：提交前检查、CI 中每次 PR 运行依赖审计、上线前 SSL 与配置核查、安全审查准备。
限制：资料未提供该技能的安装方式、收费、平台支持或效果保证；命令需在具备相应工具的环境中运行，部分扫描依赖外部工具与网络。密钥一旦进入 git 历史，需用 git filter-branch 或 git-filter-repo 清除并轮换凭据。