用途：对项目代码与 Claude Code 配置做全面安全审计，产出带评分的安全态势评估和修复优先级清单。官方说明耗时约 2-5 分钟，范围覆盖整个项目加 Claude Code 配置；若只需快速检查配置，可改用 /security-check。
主要能力：审计分六个阶段。阶段一通过 /security-check 检查 MCP 服务器（对照 CVE 数据库）、技能与智能体（对照已知恶意条目）、Hook 外泄模式、记忆投毒、权限与设置、配置中的密钥暴露。阶段二扫描项目中的密钥与凭据，包括 API key、令牌、私钥、.env 文件及 .gitignore 覆盖情况，并要求用 git 历史命令验证后才报告，避免误报。阶段三分析 Markdown 与配置文件中的提示注入面，如零宽字符、隐藏 HTML 注释、Base64 载荷、ANSI 转义、空字节和嵌套命令执行。阶段四按项目类型运行依赖审计（npm audit、pip-audit、cargo audit、govulncheck）。阶段五检查安全 Hook 是否安装（PreToolUse、PostToolUse、注入检测器）。阶段六汇总评分并生成报告。
使用方式：运行前会先询问环境（生产/预发/本地）与审计范围，未回答时默认按生产环境从严处理。评分满分 100：配置安全 30、密钥扫描 20、注入面 15、依赖 20、Hook 安全 15，按 A-F 分级，报告含各阶段得分、按严重度分类的发现、修复计划表和基准对比。
限制：本地开发环境中的 DEBUG、CORS *、无 TLS 等默认不判为漏洞，仅作上线前提示；未检测到包管理器时跳过依赖审计且不扣分；密钥类发现必须有命令实证才报告。