Plugin Auditor 是一个用于审计 Claude Code 插件的技能，面向 claude-code-plugins 仓库的规范要求设计。当用户提及“audit plugin”“security review”“best practices check”“plugin quality”“compliance check”等触发关键词时启用，对插件进行多维度自动检查并输出审计报告。
用途：帮助插件作者在发布前发现安全问题、规范偏差和质量缺陷，并判断插件是否达到发布或精选状态的要求。
主要能力：
安全审计：检查硬编码密码/API key/令牌、AWS 密钥（AKIA...）、私钥（BEGIN PRIVATE KEY）、危险命令（如 rm -rf /、eval()、exec()）、命令注入向量、可疑 URL（IP 地址、非 HTTPS）、混淆代码（base64 解码、十六进制编码）等。
最佳实践审计：检查插件目录层次、必需文件、语义化版本（x.y.z）、描述清晰度、LICENSE（MIT/Apache-2.0）、README 完整性、关键词数量；检查 TODO/FIXME 是否有 issue 链接、生产代码中的 console.log()、硬编码路径、hooks 中是否使用 ${CLAUDE_PLUGIN_ROOT}、脚本 shebang 与可执行权限；检查 README 的安装与用法示例、命令 frontmatter、agent 模型声明、skill 触发关键词。
CLAUDE.md 合规：检查插件结构、市场 slug、分类分配、plugin.json schema、市场目录条目、版本一致性；技能需检查 SKILL.md frontmatter、描述触发词、allowed-tools、用途说明与示例。
市场合规：核对其是否在 marketplace.extended.json 中、源路径、版本一致性、分类有效性、重名和作者信息。
Git 卫生：检查大二进制文件、node_modules/、.env 文件、.gitignore、合并冲突与提交历史。
MCP 插件审计：检查 package.json 是否含 @modelcontextprotocol/sdk、TypeScript 配置、dist/ 是否被忽略、mcp/*.json 配置、构建脚本与依赖漏洞。
性能与可访问性：检查不必要的文件读取、glob 效率、递归循环、超时值、内存泄漏，以及错误信息、命令描述、用法示例和 README 格式。
使用方式：技能会运行 grep、test、ls、jq 等命令进行扫描与验证，随后按“安全、最佳实践、CLAUDE.md 合规、质量评分、建议”的格式输出报告，并用严重级别（Critical/High/Medium/Low）标注问题。它可自动修复脚本权限、JSON 与 Markdown 格式、版本同步问题。示例触发语句包括“Audit the security-scanner plugin”“Is this plugin safe to publish?”“Quality review before featured status”。
适用场景：Claude Code 插件发布前的安全与质量审查、精选插件评审、市场目录提交前检查、贡献者规范核对。
限制：资料中未给出具体安装命令、运行环境要求、版本号、收费信息或性能数据；自动修复仅覆盖上述有限项，其余问题需人工处理。