用途：这是一份 OWASP Top 10 安全审计清单，适用于安全审查、PR 评审和代码库审计，覆盖 Web 应用（2021）、API（2023）与移动（2024）三类目标。
主要能力：提供始终适用的规则，包括禁止 IDOR（资源查询须同时按 owner_id 或 tenantId 过滤）、禁止通配符 CORS、禁止直接返回完整实体（须投影为 DTO）、移动端禁止明文存储密钥（用 Keychain/Keystore）。同时按上下文激活清单，逐项标记 ✅ 不受影响、⚠️ 需复核、🔴 已确认问题；P0 问题会将安全评分上限压至 40/100。
清单内容：Web 侧覆盖 A01 访问控制失效、A02 加密失败、A03 注入、A04 不安全设计、A05 安全配置错误、A06 易受攻击组件、A07 认证失败、A08 数据完整性失败、A09 日志与监控不足、A10 SSRF；API 侧覆盖 BOLA、认证失效、属性级授权失效、资源消耗无限制、功能级授权失效、业务流无限制、安全配置错误、清单管理不当、不安全的 API 消费；移动侧覆盖凭据使用不当、供应链不足、认证授权不安全、输入输出校验不足、通信不安全、隐私不足、二进制保护不足、安全配置错误、数据存储不安全、加密不足。
使用方式：在编写安全敏感功能、评审 PR 或审计代码库时启用，配合框架专属安全技能使用，完整检测信号见 references/owasp-web.md、references/owasp-api.md、references/owasp-mobile.md。
限制：资料未提供安装命令、收费方式与具体平台支持信息。