用途：对指定范围执行安全审查或审计，目标是确认被审范围能抵御可信的安全失败，包括可被利用的授权、注入、数据、依赖、供应链、配置、流水线和主机层风险。
主要能力：按范围模式选择安全域。changes（默认）审查未提交或分支改动，覆盖 D1、D2、D6、D7，若清单/锁文件变更加 D3，若 CI 文件变更加 D9；full 覆盖全部 D1–D10；deps 覆盖 D3（加 D2）；vet <repo/pkg> 在安装、克隆或运行任何第三方代码前执行 D4（加 D3）；host 覆盖 D5（加 D2）。D2 密钥检查在任何模式下都执行。十个域包括：D1 应用安全（OWASP Top 10 2025，含 SSRF、访问控制、注入、加密失败、认证失败、日志与告警失败、异常条件处理等）、D2 密钥与凭据卫生、D3 依赖与供应链安全、D4 第三方代码审查、D5 主机/VPS、D6 前端、D7 API 边界、D8 基础设施、D9 CI/CD、D10 AI/智能体。
使用方式：在 Codex 中用 $security-review 调用（旧 /security 与 /arch-security-review 名称已不再解析）。工作流按顺序执行：Scope 解析范围模式并选择安全域；Audit 对每个选中域清单逐项审查并记录 file:line 或命令输出证据；Report 将发现写入 plans/reports/security-review-{YYMMDD}-{HHmm}-{slug}.md，含严重性、置信度与修复建议；Validate Findings 在任何修复前运行 $why-review --validate-findings <report-path>；Fix + Full Re-Review 只修复已验证的发现，然后从 Scope 重新开始完整审查，并使用新的 security-auditor 子代理。执行前需建立并同步任务跟踪，每步完成或跳过都要给出简要证据或跳过原因。
限制与规则：不得跳过、重排或合并步骤，除非用户明确批准；无法运行所需步骤或工具时应停止并询问用户。发现必须有证据，无法用代码追踪证明可利用性时只能标注“潜在风险，未确认”，不得无证据断言“看起来安全”。D4 第三方审查是首次安装/克隆/运行前的硬性门槛，D2 在所有模式中始终执行。发现未经 $why-review --validate-findings 确认前不可修复；任何已验证修复后必须从头重启完整审查，而非只复查改动文件。审查中不得安装或执行未经审查的第三方代码。资料未提供具体收费、价格、平台支持范围或效果数据。