用途：当存在已知 Java 源码范围或 Java 相关的 Spring/构建配置，需要对选定风险面做范围化、只读审计时使用。审计基于当前仓库证据，不以开源项目或框架惯例作风格对比来判定缺陷。
主要能力：消费 urn:skills:audit-request:v1，输出 urn:skills:audit-findings:v1；可选用 PackageManifest/basis 及兼容的图资产/消费者/影响结果。支持选择一种或多种审计配置：构建/架构（依赖方向、模块包、构建可复现性、生成代码、生命周期）；API/安全（路由、DTO 校验、过滤器/拦截器、认证授权与数据范围、会话令牌、CSRF/CORS、上传下载、错误、密钥与敏感日志）；持久化/事务（映射、查询形态、分页、N+1、锁、迁移、事务边界与传播、提交后效应、数据库兼容）；并发/集成（执行器、异步事件、Redis/缓存、消息、调度、重试、幂等、背压、分布式锁、关闭）；性能/运维（代表性负载、执行计划、连接池、分配序列化、缓存、远端调用、指标、健康、失败模式）；迁移/兼容（JDK、Spring Boot、javax/jakarta、构建工具、依赖、数据库、打包或配置代际变更）。
使用方式：记录 Git/构建根、修订与 Worktree 状态，读取有效指引并仅检查选定的清单、源码、测试、迁移、配置归属、CI 与运行文档；解析 JDK、Maven/Gradle、Wrapper、父/BOM/平台、模块、打包、框架代际、可执行入口、profile 与质量命令；对每个候选问题按触发、可达路径、归属、状态或数据后果、反证与可证伪验证接缝进行追踪。验证时先捕获 Worktree 状态，禁止在受审 Worktree 中运行已知 apply/fix 或生成受跟踪源码的命令；优先只检查式命令，必要时经显式授权仅使用测试自有临时容器/数据库/进程。
限制：保持 Git/源码只读，不编辑受跟踪源码、不提交、不推送、不发评论；编译通过不能证明授权、回滚、迁移、查询、并发或运行时行为。不用于无 Java 审计的仓库/构建定向（用 repo-map）、Java 实现重构或迁移（用 dev-java）、单一具体故障的根因诊断、Kotlin/Groovy/Scala 等非 Java 语言语义分析、Worktree/索引或不可变变更就绪性评估、Git 或外部发布操作。其他事实（价格、平台支持等）资料暂未提供。