用途：依据 maestro-flow 工作流对代码库做只读安全审计。覆盖范围按档位递增：quick 检查 OWASP Top 10 与依赖；standard 增加密钥检测与 CI/CD 审计；deep 再加 STRIDE 威胁建模与 Git 历史考古。审计输出写入 .workflow/scratch/{YYYYMMDD}-security-audit-{tier}-{slug}/ 或 .workflow/state.json，禁止改动源码、配置或依赖。
流程与阶段门：先做侦察（从 package.json/go.mod/requirements.txt/Cargo.toml 识别技术栈，列出 HTTP、API、CLI、WebSocket 入口与认证授权模块，映射数据流）。GATE 1 要求入口与数据流就绪后才能进入扫描；GATE 2 要求完成该档位全部扫描；GATE 3 要求产出含 file:line 与修复建议的严重级别矩阵并在 state.json 注册后才可完成。OWASP 扫描用 Grep 匹配风险模式，standard/deep 可用 spawn_agents_on_csv 并行分担 2-3 个类别，任务必须恰好调用一次 report_agent_job_result，只读、不递归、超时返回部分结果；deep 的 STRIDE 同样按模块并行。依赖审计可用 npm audit --json 并检查锁文件。
限制：不修改源码，不编造结果，仅识别资料中列出的检查项；超时或失败标记 degraded 并记录 evidence_incomplete；产物类型复用 review（RVW-NNN），critical 为 0 时状态为 completed，否则 completed_with_concerns。