用途：在 Pull Request 评审中按本仓库技术栈做应用安全检查，不是通用扫描器，而是清单式提示。
主要能力：§1 better-auth——检查 SSO 回调后未设置 activeOrganizationId 导致组织级授权被静默绕过、SSO 自动开通绕过 beforeAddMember 钩子、邀请/SSO/SCIM 三条路径重复创建成员导致权限冲突、社交登录租户限制仅靠 UI 无法在运行时强制。§2 SpiceDB/AuthZed——检查通配符关系上未设 optionalLimit 的 lookupResources 造成扇出，以及热点路径上 intersection 运算符无法短路带来的成本翻倍。§3 安全运营——敏感操作（改邮箱、改密码、MFA、删号）缺少当前密码再认证；认证失败、授权拒绝、限流触发缺少日志。§4 Next.js/RSC——Server Function 中出现字面量密钥（process.env 引用安全）、Server Action 闭包捕获服务端变量、服务端到客户端组件 props 序列化泄露用户数据、敏感环境变量误加 NEXT_PUBLIC_ 前缀、ISR/静态生成缓存敏感数据。
使用方式：对照变更文件匹配相关章节，非每个 PR 都适用；better-auth 检查用于认证代码，SpiceDB 检查用于 .zed 文件与权限校验代码，Next.js RSC 检查用于含 use server 或 use client 的组件。不确定时降低置信度而非断言。
严重性：SSO 组织上下文缺失、敏感操作缺少再认证、Server Function 密钥泄露为 CRITICAL；SSO 自动开通绕过钩子、重复成员、LookupResources 无界、缺少安全日志、闭包捕获、RSC props 序列化、NEXT_PUBLIC_ 密钥、ISR 缓存敏感数据为 MAJOR；社交登录租户限制与 intersection 热点路径为 MINOR。缺少官方安装与命令说明，暂未提供。