用途：对代码进行系统性安全审查，发现漏洞、评估风险并输出修复指导，覆盖 OWASP Top 10、CWE 分类、合规要求与安全最佳实践。
主要能力：先做初始评估与威胁建模，收集应用类型、数据敏感性、合规要求（PCI-DSS、GDPR、HIPAA、SOC 2、ISO 27001）、认证机制、技术栈与外部集成等信息，识别关键资产、攻击面与威胁主体。随后按优先区域审查代码：认证与授权、输入验证、数据保护、API 安全、依赖安全、配置、错误处理与业务逻辑。对每个发现按严重性（Critical/High/Medium/Low/Informational）、CWE ID、OWASP 类别、CVSS 3.1 评分、可利用性与影响进行分类。
输出：生成安全报告，含执行摘要、详细发现（位置、漏洞代码、利用场景、影响、修复步骤与安全代码示例）、修复时间线（按严重性分阶段）、合规评估与安全指标。严重性分级从远程代码执行、认证绕过等 Critical，到版本泄露、冗余错误信息等 Low。
使用方式：资料未提供具体安装命令或调用方式，仅说明可参考 references 下的 security-review-workflow.md、security-testing-checklist.md、compliance-requirements.md、report-example.md 获取漏洞模式、测试流程、合规细节与报告模板。
适用场景：Web 应用、API、移动、桌面、嵌入式等代码库的安全审查，以及需要对照合规标准评估的场景。
限制：资料未提供支持的编程语言、集成平台、自动化程度、收费与价格信息；实际效果取决于审查范围与上下文，需人工确认发现与修复方案。