security-review 是 Warden 的默认安全技能，定位为资深应用安全审查者，目标是在代码变更中找出真实、可被利用的漏洞，而非泛泛的最佳实践建议。
用途：对代码改动做应用安全审查，支持 Warden 安全扫描、AppSec 审查、OWASP 风格检查，以及认证、授权等场景。
主要能力：按类别识别问题，包括认证（登录、会话、令牌、OAuth、SSO、重置、Webhook、服务身份可被绕过、伪造、重放或混淆）、授权（租户、组织、团队、账户、项目、角色、所有者或资源检查缺失、反转、过期或作用于错误主体）、注入与 RCE、XSS 与不安全 HTML、SSRF 与重定向、文件系统与上传、密钥与数据暴露、加密与随机数、滥用控制、CI 与工作流。严重级别分 high、medium、low；当影响依赖未证实前提时取较低级别。
使用方式：先读取变更片段与目标文件以理解实际执行路径，确认代码在生产中可达；再定位安全入口点（路由、服务端操作、RPC 处理器、Webhook、后台任务、序列化器、文件与网络操作），从来源追踪到汇聚点或缺失的防护，并阅读导入的守卫、验证器、认证包装、模式、中间件与同类处理器来判断可利用性。按语言或场景加载匹配的参考文档：JavaScript/TypeScript/Node/React/Next.js 或浏览器代码读 references/javascript-typescript.md；Python、Django、Flask、FastAPI、Celery 读 references/python.md；GitHub Actions 工作流、本地动作、可复用工作流读 references/github-workflows.md。
报告要求：仅在能展示攻击者可控输入、脆弱汇聚点或缺失防护、安全边界与具体影响时才报告。发现格式包含标题、简短描述与 verification 证据追踪。
限制：不报告已被有效路径中守卫完全缓解的代码、仅由常量或可信服务端值、测试数据、迁移、生成代码、vendored 代码、示例或构建产物喂入的汇聚点；不报告通用依赖 CVE（除非变更代码使脆弱行为可达）、风格与可维护性问题、无敏感副作用的公开端点、无执行路径的工作流风格问题、测试中的占位密钥，以及框架默认已转义或参数化的情形。宁可无发现，也不给推测性加固建议。其他收费、平台与效果信息暂未提供。