用途：对用户提供的源代码执行 OWASP Top 10（2021）系统性审计，产出可落地的发现项与修复方案，不编写漏洞利用代码，每条发现都附带修复建议。
主要能力：按 A01 至 A10 逐类检查，包括访问控制缺失、IDOR、CSRF、硬编码密钥与弱哈希、SQL/NoSQL/命令注入、XSS、模板注入、不安全设计、安全配置错误、依赖漏洞、认证与会话问题、数据完整性、日志监控缺失、SSRF 等；通过 grep 定位已知危险汇聚点（如 exec(、eval(、innerHTML、dangerouslySetInnerHTML、$where、fetch(、axios( 等）再阅读文件确认。
使用方式：先界定范围——识别语言、框架与架构，梳理路由/API/表单等入口，追踪用户输入到处理、存储、输出的数据流，定位认证与授权边界；多租户 B2B SaaS 优先排查 A01 与权限绕过路径。依赖检查可运行 npm audit（Node）、pip audit（Python）或同类工具。
报告格式：每条发现包含严重级别、A0X 类别、标题、文件路径与行号、CWE 编号、描述、脆弱代码与修复代码；外层附执行摘要（项目、技术栈、日期、各级别数量）与按优先级排列的修复计划。
适用场景：代码安全审查、上线前安全评估、合规检查准备。
限制：仅审计用户提供或指明的代码；低置信度发现标注为“Potential”；代码库过大时优先审计认证、输入处理与数据访问层；拒绝插入后门或削弱安全控制的请求。参考资料为 OWASP Top 10（2021）、OWASP Code Review Guide、CWE Top 25。