用途：对代码库执行系统化安全审计，生成结构化漏洞报告，适用于安全扫描、PR 安全审查、OWASP 合规检查等场景，可通过 /security-check 命令触发。
主要能力：先探测项目语言与框架，再检查 Semgrep、Trivy、Gitleaks 是否可用（均非强制）。Semgrep 做静态分析，Trivy 扫描依赖、密钥与配置，Gitleaks 检测密钥泄露；同时用 Grep 做原生模式分析，覆盖代码注入、SQL 拼接、DOM XSS、硬编码凭据、弱加密、TLS 校验关闭、调试模式、CORS 通配、安全头、JWT、文件上传、GraphQL、postMessage、WebSocket 及 React/Next.js/Supabase 等框架风险。结果按 CRITICAL/HIGH/MEDIUM/LOW 归一化并映射 OWASP 类别。
使用方式：可用完整脚本 python <skill_path>/scripts/run_security_audit.py <target_path> [output_dir]；生成 HTML 报告用 python <skill_path>/scripts/generate_report.py <json_rapport_pad> ./security_reports/security_audit.html；SARIF 用 python <skill_path>/scripts/generate_sarif.py <json_rapport_pad> [--output sarif_output.json]，可上传 GitHub Code Scanning；增量报告加 --baseline <vorig_rapport.json>。自定义规则位于 assets/semgrep_rules/，共 137 条规则、8 个文件，可用 semgrep --config=<skill_path>/assets/semgrep_rules/ <target_path> 调用。项目根目录的 .security-ignore 可过滤已知误报。
限制：工具需预先安装，缺失时仅做原生分析；扫描结果可能含误报，需结合上下文判断；密钥类问题需人工删除并轮换；具体平台支持与收费信息暂未提供。