用途：这是 Nanostack 技能集中的安全审计技能，建议在发布到生产环境之前使用，对代码库进行 OWASP Top 10 审计和 STRIDE 威胁建模。它强调从真实攻击面入手，例如 git 历史中的密钥、未更新的依赖、泄露令牌的 CI 流水线、缺少速率限制的 AI 端点，而非只看应用逻辑。
主要能力：支持三种强度模式。--quick 只覆盖 OWASP A01-A03、密钥扫描和依赖检查，置信门槛 9/10；默认 --standard 覆盖完整 OWASP A01-A10、逐组件 STRIDE 和依赖，门槛 7/10；--thorough 额外做变体分析、冲突检测和 LLM 安全检查，门槛 3/10，并把低置信发现标记为 TENTATIVE。会用正则扫描硬编码凭据（如 AWS、Stripe、OpenAI、Anthropic、GitHub PAT、私钥、数据库连接串），检查 git 历史中的密钥，检查 CI/CD 流水线（未固定版本的 action、pull_request_target、日志泄密、权限过宽）以及 AI/LLM 安全（客户端密钥、提示注入、缺少速率限制、未转义输出）。还会逐组件做 STRIDE 分析，并按 A-F 评分输出报告，每条发现包含位置、利用方式、修复代码和严重级别，最后附上做得好的地方。
使用方式：由 Claude 技能环境调用，首次运行需通过 resolve.sh security --diff 加载上下文，并读取或生成 security/config.json 来分类项目类型（公开、内部、合规、库/SDK），据此决定冲突优先级、默认强度和 OWASP 优先级。审计完成后需运行 save-artifact.sh 保存安全构件（含 summary、findings、context_checkpoint）。支持 NANOSTACK_NO_TELEMETRY=1 关闭遥测。
适用场景：发布前的安全检查、公开面向或合规项目的审计、首次对代码库做安全评估，以及修复后的针对性复验。
限制：报告不展示完整密钥值，只显示前四字符加星号；run_mode 为 report_only 时只报告不修复；不修复产品文件，修复由调用方处理；零发现是合法结果，不应编造；其他具体细节以实际环境为准，资料未提供的内容暂未提供。