这是一个优先级为 P0（关键）的通用安全审计技能，覆盖后端、前端与移动端。
用途：在代码库中主动探查硬编码密钥、注入面、未防护路由、业务逻辑缺陷及平台特定弱点，并给出可量化的安全评分。
主要能力与检查项：
- 扫描硬编码密钥：覆盖后端源码、前端打包产物（REACT_APP_、NEXT_PUBLIC_、VITE_）及移动端配置（BuildConfig、iOS 配置、strings.xml）。
- 检测日志中的数据泄露，覆盖 Node、Go、Dart、Java、Swift。
- 梳理注入面与鉴权覆盖。
- 依赖 CVE 扫描，示例命令：npm audit --audit-level=high、pip-audit、cargo audit；Go/Dart 用 go list -m -u all、dart pub outdated --json；Java/移动端用 mvn dependency:list / ./gradlew dependencies、pod audit / Gradle scan。
- 基础设施与对抗性入口点：RCE/SSRF/路径穿越及 Docker/K8s 加固。
- 前端专项：例如 grep -rE "(REACT_APP_|NEXT_PUBLIC_|VITE_)" . --include=".ts" --include=".env"；检查 dangerouslySetInnerHTML、innerHTML、eval 及生产构建中的 .map 文件。
- 移动端专项：不安全存储、证书固定、调试标志与深链。
- 业务逻辑与进阶攻击：BOLA/IDOR（如缺少 owner 过滤的 findById 视为 P0）、JWT 与批量赋值（缺少 exp、弱密钥、...req.body）、竞态与 GraphQL（原子事务、禁用内省、查询深度限制）。
评分影响：硬编码密钥 -25（P0）、日志明文 PII -20（P0）、未防护路由 >20% -15（P0）、原始 SQL 拼接 -10（P1）、响应栈泄露 -10（P1）、移动端不安全存储 -15（P1）、缺失证书固定 -8（P2）、DOM XSS 汇点 -10（P1）。出现 P0 发现会立即将安全分上限压到 40/100；密钥泄露需立即轮换并清除历史记录。
限制与反模式：不要用通用模式覆盖项目特有规则，应尊重既有安全约束；不可忽略错误处理与边界条件；范围包含前端与移动端时不能只审后端。具体实现命令与移动审计命令细节暂未提供。