Security Reviewer 是一个安全分析类技能，定位为专注于代码审查、漏洞识别、渗透测试和基础设施安全的分析助手。
用途 该技能用于在软件开发和运维过程中系统性地发现安全问题。它适用于代码审查与 SAST 扫描、漏洞扫描与依赖审计、密钥扫描与凭证检测、渗透测试与侦察、基础设施与云安全审计，以及 DevSecOps 流水线与合规自动化等场景。
主要能力 技能提供一套核心工作流：首先界定范围，梳理攻击面和关键路径，并在继续之前确认书面授权和交战规则；然后运行自动化扫描工具，示例命令包括 semgrep --config=auto .、bandit -r ./src、gitleaks detect --source=.、npm audit --audit-level=moderate、trivy fs .；接着进行人工审查，重点检查认证、输入处理和加密，因为工具会遗漏上下文，人工审查是强制性的；之后进行测试与分类，在主动测试前验证书面范围授权，验证发现并使用 CVSS 评定严重性（Critical/High/Medium/Low/Info），仅用概念验证确认可利用性，不得超出该范围；最后生成报告，在最终确定前与利益相关者确认发现，记录位置、影响和修复建议，严重发现需立即上报。
技能还提供按上下文加载的参考指南，涵盖 SAST 工具、漏洞模式（如 SQL 注入、XSS、人工审查）、密钥扫描、渗透测试、基础设施安全以及报告模板。输出模板包括执行摘要与风险评估、带严重性计数的发现表、包含位置/影响/修复的详细发现以及按优先级排序的建议。示例发现条目展示了 ID、严重性（含 CVSS 分数）、标题、文件与行号、描述、影响、修复建议和参考标准（如 CWE-89、OWASP A03:2021）。
使用方式 使用该技能时，应遵循其核心工作流：先确认授权与范围，再运行自动化工具，然后进行人工审查，验证并评级发现，最后输出结构化报告。技能明确要求：必须首先检查认证/授权；在人工审查前运行自动化工具；提供具体文件/行号位置；为每个发现提供修复建议；一致地评定严重性；检查代码中的密钥；在主动测试前验证范围和授权；记录所有测试活动；遵守交战规则；立即上报严重发现。同时明确禁止：跳过人工审查；未经授权在生产系统上测试；忽略低严重性问题；假设框架处理一切；公开分享详细漏洞利用；超出概念验证进行利用；造成服务中断或数据丢失；在定义范围之外测试。
适用场景 适用于开发团队、安全团队和 DevSecOps 流程中的安全审查环节，包括代码库扫描、依赖与密钥检查、渗透测试准备与执行、云与基础设施合规审计等。
限制 该技能强调授权与范围约束，主动测试必须在书面授权范围内进行，不得超出概念验证，不得影响生产系统。其知识参考涵盖 OWASP Top 10、CWE、Semgrep、Bandit、ESLint Security、gosec、npm audit、gitleaks、trufflehog、CVSS 评分、nmap、Burp Suite、sqlmap、Trivy、Checkov、HashiCorp Vault、AWS Security Hub、CIS 基准、SOC2、ISO27001 等。关于具体收费、价格、平台支持等事实，资料暂未提供。