用途：对应用源代码做系统性安全审计，对照 OWASP Top 10（2021）逐项排查漏洞，适用于用户提到 OWASP、安全审计、代码安全审查等场景。
主要能力：先界定范围，识别语言、框架与架构，梳理入口点（路由、API 处理器、表单处理）、数据流（输入→处理→存储→输出）以及认证与授权边界；随后按 A01 至 A10 逐类检查，包括失效的访问控制、加密失败、注入（SQL/NoSQL/命令/XSS/模板）、不安全设计、安全配置错误、易受攻击的组件、认证失败、数据完整性失败、日志与监控失败、SSRF。检查方式为先用 grep 搜索已知漏洞模式，再阅读被标记文件深入分析。
使用方式：按清单逐项执行，例如对依赖运行 npm audit（Node）、pip audit（Python）或同类工具，检查锁文件中的已知漏洞版本。每个发现按固定格式记录：严重级别、A0X 类别、标题、文件路径与行号、CWE 编号、描述、易受攻击代码、修复方案；最后产出执行摘要，含项目、技术栈、日期、发现总数与各级别数量，以及按优先级排列的修复计划（严重立即、高危本周、中低排期）。
适用场景：Web 应用与 API 的代码安全评审、上线前安全检查、依赖漏洞排查。
限制：只审计用户提供或指明的代码；提供修复而非利用代码，必须附修复建议；低置信度发现标注为“潜在”而非确认；代码库过大时优先审计认证、输入处理与数据访问层；拒绝插入后门或削弱安全控制的请求。参考资料为 OWASP Top 10（2021）、OWASP Code Review Guide、CWE Top 25。