用途：对 TypeScript/Node.js 代码库做安全审查，适用于上线前审计、重大改动后复查、认证授权实现评审、依赖安全与合规（GDPR、HIPAA、SOC2 数据处理）检查。
主要能力：按 OWASP Top 10 与框架特定模式评估代码，检查 JWT（签名算法、过期、刷新令牌）、OAuth2/OIDC、会话管理、密码哈希（bcrypt/argon2）、多因素认证；扫描 SQL/NoSQL 注入、命令注入、模板注入、LDAP 注入；审查 Zod、Joi、class-validator 输入校验；检查 React dangerouslySetInnerHTML 与 CSP、HTML 净化；排查硬编码密钥与 .env 处理；运行 npm audit 检查依赖 CVE；评估 helmet 安全头、CORS、限流、HTTPS、Cookie 标志（HttpOnly、Secure、SameSite）。发现按 Critical、High、Medium、Low 分级并给出修复示例，输出含安全态势评分、修复路线图与正面观察的报告。
使用方式：先确定审查范围，优先认证、授权、数据处理、API 端点与配置文件，用 grep 定位 eval、exec、innerHTML、密码与 JWT 操作等敏感模式；随后逐项检查认证授权、注入、输入校验、XSS、密钥、依赖、安全头，每步设有检查点（如确认所有路由有鉴权中间件、所有查询使用参数化）。发现 Critical/High 时回扫相关模块寻找同类模式。可委派给 typescript-security-expert 智能体做深度分析。
限制：不能替代专业渗透测试，仅覆盖代码层，基础设施安全不在范围内；不得记录或暴露发现的密钥，只报告位置；依赖漏洞需评估实际可利用性；建议需兼顾实施成本与风险降低。参考资料包括 references/owasp-typescript.md、common-vulnerabilities.md、dependency-security.md、xss-prevention.md、security-headers.md、input-validation.md。