用途：Security Review Skill 用于在代码审查与发布前进行安全自查，核心理念是“安全不是功能，而是属性”，要求以对抗性思维审视代码。
主要能力：提供 OWASP Top 10 检查清单，覆盖注入、认证失效、敏感数据、XXE、访问控制失效、错误配置、XSS、不安全反序列化、脆弱依赖、日志与监控；提供 STRIDE 威胁建模表，对应欺骗、篡改、抵赖、信息泄露、拒绝服务、权限提升及缓解措施；给出代码审查安全视角清单，涵盖认证（bcrypt/argon2 哈希、无硬编码凭据、会话令牌随机轮换过期、登录限流、MFA）、授权（端点显式访问控制、资源归属校验、默认拒绝）、输入校验（服务端校验、白名单、上传限制、重定向白名单、解析大小限制）、数据保护（静态加密、TLS 1.2+、密钥放环境变量、PII 最小化、日志不含敏感信息）、依赖（npm audit/pip audit/cargo audit、Dependabot 或 Renovate、提交锁文件、发布前查 CVE）。
使用方式：按清单逐项审查代码，发布前回答“攻击者最坏能做什么、端点暴露会泄露什么数据、谁不应有访问权、恶意输入会怎样、是否信任了不该信任的东西”等问题；发现漏洞后按评估影响、遏制、修复、验证、更新清单的流程处理。资料还列出各语言常见风险（JavaScript 原型污染、eval、innerHTML；TypeScript 类型断言绕过校验；Python pickle 反序列化、格式化字符串；SQL 字符串拼接；Shell 命令注入、未加引号变量）及安全响应头建议（CSP、X-Content-Type-Options、X-Frame-Options、HSTS、X-XSS-Protection）。
适用场景与限制：适合开发者在代码审查、上线前自查和依赖审计时参考。资料未提供安装命令、具体平台支持、收费方式或自动化执行细节，相关事实暂未提供。