用途：对应用源代码按 OWASP Top 10（2021）逐类做系统性审计，产出可落地的发现项（含文件/行号）与修复方案；不编写漏洞利用代码，每个发现都附带修复建议。
主要能力：先进行范围界定，识别语言、框架与架构，梳理路由、API 处理器、表单处理等入口点，追踪用户输入到处理、存储与输出的数据流，定位认证与授权边界。多组织 B2B SaaS 场景优先排查 A01 与权限绕过路径。
审计清单覆盖：A01 访问控制失效（缺失授权检查、IDOR、CSRF、仅前端角色校验）；A02 加密失败（硬编码密钥、弱哈希、日志/URL/localStorage 泄露敏感数据、缺少传输或静态加密）；A03 注入（SQL/NoSQL/命令/XSS/模板注入）；A04 不安全设计（认证逻辑缺陷、缺少限流、仅客户端的业务约束）；A05 安全配置错误（生产调试模式、宽松 CORS、缺少 CSP/HSTS/X-Frame-Options/X-Content-Type-Options、默认凭据、详细报错）；A06 易受攻击组件（npm audit、pip audit、锁文件版本与关键 CVE）；A07 认证失败（弱密码策略、会话管理、登录限流、密码重置）；A08 数据完整性失败（不安全反序列化、CI/CD 完整性、SRI）；A09 日志与监控失败（认证事件未记录、日志含敏感数据、缺少告警）；A10 SSRF（用户可控 URL、缺少校验与允许列表）。
使用方式与限制：仅审计用户提供或指明的代码；发现按严重度分级并给出修复；低置信度标注为“Potential”；代码库过大时优先认证、输入处理与数据访问层；拒绝插入后门或削弱安全控制的请求。报告建议含执行摘要（项目、技术栈、日期、各类计数）与按优先级排列的修复计划。