用途：对仓库安全卫生姿势做只读、离线审计，回答“清单能从代码树证明哪些姿势缺陷，以及在本仓库实际上下文中各自多严重”。
主要能力：assets/audit_posture.py 做确定性扫描（同样代码树得出同样发现），覆盖十三类检查：dep-unpinned-python / dep-unpinned-node / docker-unpinned-base（默认 MEDIUM）、credential-file（按文件名识别 .env*/.pem/id_*，不读取内容，HIGH）、debug-flag / permissive-cors / insecure-transport（MEDIUM）、workflow-prt-checkout / workflow-curl-pipe-sh（HIGH）、world-writable / setuid-file（MEDIUM/HIGH）、parse-error（LOW）、missing-security-md（INFO）。输出 JSON，含 check、severity、path、line、evidence、remediation、summary 和 not_covered。
使用方式：先确认仓库路径与授权，再运行 python3 "$SKILL_DIR/assets/audit_posture.py" <repo> --format json --fail-on never，随后逐条打开被标记文件与行，按 references/checks.md 上调或下调等级（如测试夹具中的 debug=True 降为 INFO），最后按 HIGH→MEDIUM→LOW→INFO 输出报告，附未覆盖声明与修复后的复跑验证。需要 Python 3.10 或更新版本，可用 skills 目录中的 test_audit_posture.py 与 eval/run_eval.py 做验证。
适用场景与限制：适合审计用户拥有或明确授权的仓库。它不是 CVE 扫描器（无公告库、无网络、不做版本漏洞匹配），不是 SAST（无数据流与注入分析），不是密钥内容扫描器，也不做规范核验或代理就绪度审计。Windows 文件权限检查跳过；约 1 MB 以上文件跳过内容检查；损坏清单记为 parse-error 盲点。具体平台与收费信息暂未提供。