用途：对 iOS 和 Android 应用进行安全审计，依据 OWASP MASVS 与 MASTG，覆盖源码审查、编译产物静态分析和运行时测试。范围限于应用本身及其与设备、后端和其他应用的交互；后端 API 安全应配合 api-audit，依赖 CVE（CocoaPods、SPM、Gradle）应配合 dependency-audit。
授权前提：在逆向或运行时测试二进制前，须确认应用属于自己或已获发布方书面授权，并在自控环境（测试设备、模拟器、专用沙箱）中操作；授权不明时先询问。
主要检查项：MASVS-STORAGE（Keychain 访问级别、NSUserDefaults/plist 与 APK 中密钥、EncryptedSharedPreferences、allowBackup、日志与剪贴板敏感信息、应用切换截图防护）；MASVS-CRYPTO（无硬编码密钥、仅用 AES-GCM/ChaCha20-Poly1305、安全随机数、PBKDF2≥600000 次或 Argon2id、IV/nonce 不重用、不自造加密）；MASVS-NETWORK（ATS 与 cleartext 配置、证书或公钥固定及备用 pin、WebView 使用与 JS 桥审计）；MASVS-AUTH（生物识别绑定密钥库、令牌存储、刷新令牌、OAuth 使用平台浏览器）；MASVS-PLATFORM（深度链接/URL scheme、导出组件、Content Provider、广播、IPC、App Group 与 Keychain 访问组）；MASVS-CODE（原生库加固、符号剥离、禁调试构建、反射隐藏 API、强制升级）；MASVS-RESILIENCE（可选，仅高风险应用，含越狱/root 检测、混淆、反调试、原生层防 Frida）。
工具：MobSF、nuclei、semgrep、jadx、apktool、Hopper/Ghidra/IDA、class-dump/nm/otool、strings、Frida + objection。运行时测试使用非个人设备，配置 Burp Suite/mitmproxy，必要时绕过 SSL pinning 观察流量，测试 IDOR/BFLA、会话保持与截图模糊。
输出按执行摘要、MASVS 分类发现表、逐项详情、后端 API 发现和优先级建议组织。限制：仅审计自有或获授权应用；逆向竞品存在法律风险；Frida 等绕过工具仅限自有应用测试环境；拒绝协助构建恶意软件、监视或跟踪软件。