Security Review 是一个安全代码审查技能，用途是在评审代码漏洞、评估安全态势或审计应用程序时提供结构化的审查依据。其内容以检查清单、危险代码模式和报告模板三部分组织。
用途与适用场景：当需要审查代码是否存在安全漏洞、评估某个组件或应用的整体安全状况，或对应用进行安全审计时使用该技能。它面向需要系统化开展安全审查的场景，尤其适合在代码评审、上线前检查或安全评估环节中作为参照。
主要能力（审查清单维度）： 认证：强制强密码要求、敏感操作启用 MFA、会话令牌需密码学安全、会话超时设置恰当、登出能正确使会话失效。 授权：访问控制在服务端校验、应用最小权限原则、正确实现基于角色的访问控制、校验直接对象引用。 输入验证：所有输入在服务端验证、校验输入类型与长度、正确处理特殊字符、校验并限制文件上传。 输出编码：HTML 输出正确编码、JSON 响应使用正确内容类型、错误信息不泄露信息。 加密：使用强算法（AES-256、RSA-2048+）、不使用自定义加密实现、密钥妥善管理、强制 TLS 1.2+。 错误处理：异常优雅处理、错误信息不暴露内部细节、失败操作被记录。 日志：记录安全事件、不记录敏感数据、日志防篡改。
危险代码模式标记：清单明确列出应标记的模式，包括 SQL 注入（将用户输入拼接进 SQL 查询，示例为 db.query(SELECT * FROM users WHERE id = ${id})）、XSS（如 element.innerHTML = userInput）、硬编码密钥（如 const API_KEY = "sk-abc123..."）、不安全随机数（如将 Math.random() 用于安全目的）。
使用方式与报告模板：技能提供安全审查报告结构，标题为「Security Review: [组件]」，先给出摘要并按严重程度统计数量（Critical、High、Medium、Low），随后逐条列出发现，每条包含严重级别与问题标题、位置（文件与行号）、描述、修复建议以及代码示例（当前存在漏洞的写法与推荐修复）。示例中展示的是 SQL 注入问题，位于 src/services/user.ts:47，修复方向为使用参数化查询。
限制：资料未提供该技能的具体安装方式、运行命令、依赖环境、支持的编程语言范围、收费或价格信息，这些内容暂未提供。以上内容基于资料中的检查清单、危险模式与报告模板整理，未包含资料之外的推断。