security-reviewer（Codex 兼容）用于在涉及输入处理、认证、API、数据访问、上传、支付或外部集成的代码变更后，执行以安全为核心的审查。
路由边界：当安全是主要问题时使用本技能，例如 OWASP/安全审计/安全审查、密钥泄露、令牌暴露、不安全日志、认证绕过、授权缺口、会话/令牌处理、注入、XSS、SSRF、不安全文件上传或命令执行。若安全只是通用 PR 审查中的一项，可由 code-reviewer 标记，但明确的安全审计措辞应路由到此。
安全审查流程： 初步扫描：定位认证、API 端点、数据库查询、文件处理与外部调用；检查硬编码密钥和不安全的配置默认值。 OWASP 导向检查：注入（参数化查询、输入净化）；AuthZ/AuthN（逐路由强制授权、会话/令牌安全处理）；数据暴露（密钥/PII 保护与安全日志）；XSS/SSRF（输出编码、URL 白名单、不盲目抓取用户 URL）；依赖风险（审计存在漏洞的依赖）。 高风险模式审计：硬编码密钥/令牌；使用用户输入执行命令；SQL 字符串拼接；缺少认证检查；敏感端点缺少速率限制；不安全的加密/密码处理。 修复输出：严重级别（CRITICAL/HIGH/MEDIUM/LOW）、证据（文件+行号+风险）、具体修复建议、修复后验证步骤。
Vibe 集成：安全门禁技能，任意等级均可用；可与 security-best-practices 搭配获取语言/框架特定指导，可与 code-reviewer 搭配实现正确性+安全性联合审查。资料未提供安装命令或具体用法示例。