用途：Security Reviewer 定位为高级安全分析师技能，适用于代码审查、漏洞识别、渗透测试和基础设施安全加固，覆盖 SAST 扫描、依赖审计、密钥扫描、侦察、DevSecOps 流水线与合规自动化等场景。
主要能力：按固定工作流推进——先界定攻击面与关键路径，再运行 SAST 与依赖工具做自动化扫描，随后人工审查认证、输入处理与加密，进行授权范围内的主动测试与验证，按 Critical/High/Medium/Low 分级，最后输出含修复建议的报告。技能附带参考文档，按上下文加载：SAST 工具、漏洞模式（SQL 注入、XSS）、密钥扫描（Gitleaks）、渗透测试、基础设施安全、报告模板。知识面涉及 OWASP Top 10、CWE、Semgrep、Bandit、ESLint Security、gosec、npm audit、gitleaks、trufflehog、CVSS、nmap、Burp Suite、sqlmap、Trivy、Checkov、HashiCorp Vault、AWS Security Hub、CIS 基准、SOC2、ISO27001。
使用方式：先确认授权与范围，再运行自动化工具，然后人工复核；输出包含执行摘要与风险、带严重级别计数的发现表、含位置/影响/修复的详细发现，以及按优先级排序的建议。
限制与约束：必须先检查认证与授权，先跑工具再人工审查，提供具体文件与行号，逐项给出修复建议并统一评级，检查代码中的密钥，主动测试前核实范围与授权，记录全部测试活动，遵循交战规则，关键发现立即上报。不得跳过人工审查，不得在未授权情况下测试生产系统，不得忽视低危问题，不得假设框架已处理一切，不得公开详细利用代码，不得超出概念验证范围利用，不得造成服务中断或数据丢失，不得测试范围之外的目标。具体安装命令、价格与平台支持信息暂未提供。