用途：在代码库中调查安全漏洞，覆盖 OWASP Top 10、密钥暴露、供应链风险与语言特定模式，产出带评分的 SECURITY_AUDIT.md 及按优先级排序的修复动作。核心原则是调查而非仅 grep，需阅读上下文判断命中是真漏洞、误报还是已缓解，只标记有 file:line 证据且风险已确认的发现。
使用方式：先做前置检查，运行 git --version 2>/dev/null && git rev-parse --is-inside-work-tree 2>/dev/null，并可选检测工具：command -v gitleaks 2>/dev/null && echo "gitleaks: available"、command -v semgrep 2>/dev/null && echo "semgrep: available"、command -v trivy 2>/dev/null && echo "trivy: available"、command -v govulncheck 2>/dev/null && echo "govulncheck: available"。无工具时可继续手动调查，但需在报告中注明缺失工具。
主要能力与流程：一、确定范围与上下文，通过 go.mod、package.json、pyproject.toml、Cargo.toml、*.csproj 识别技术栈，定位认证、授权、数据库、API、加密、文件处理等敏感区域，并阅读 CLAUDE.md、README.md、CONTEXT.md。二、自动扫描，例如 gitleaks detect -v、semgrep --config=auto --severity=ERROR .、trivy fs --severity HIGH,CRITICAL .，或 govulncheck ./...、npm audit、pip-audit、cargo audit；扫描结果需人工复核。三、按 OWASP 分类系统排查，并非所有项目都适用 CLI 工具无需 XSS、库无需 CSRF。四、扫描当前代码与 git 历史中的硬编码凭据；已从当前代码删除但存在于 git 历史的密钥仍视为已泄露，标为 CRITICAL；同时检查 lockfile 完整性、依赖漏洞、依赖混淆与关键依赖维护信号。五、用 STRIDE 做威胁建模，映射入口点与信任边界，并用 DREAD 评分。六、按检测到的语言加载对应漏洞模式。七、为每个发现标注严重级别 CRITICAL/HIGH/MEDIUM/LOW、修复工作量 S（<1 天）/M（1-5 天）/L（1-2 周）与 file:line 证据。八、生成 SECURITY_AUDIT.md 并运行 markdownlint。九、向用户展示各级别发现数量、最重要的前 3 项及证据、可用与缺失工具、修复优先级，并询问先处理哪些发现。
限制：不依赖工具也能运行，但缺失工具会影响分析覆盖；自动扫描存在误报，必须人工确认；并非所有 OWASP 类别都适用于每个项目；详细模式见 references/owasp-patterns.md、references/secrets-and-supply-chain.md、references/threat-model.md、references/language-security.md、references/report-template.md。