用途：对代码变更执行聚焦的安全审查，方法与 Anthropic 官方 /security-review 命令一致，但可在 Claude Code、Cursor、Codex、Windsurf、Cline 等任意 AI 编码代理中运行。核心原则是信号而非噪音：只报告置信度 80% 以上、可指出具体可利用攻击路径的问题；短报告含 2 个真实缺陷，优于 20 个疑似问题。
主要能力：按顺序执行六步流程。第一步收集变更范围，默认审查当前分支待提交变更，使用 git status、git diff --name-only origin/HEAD...、git log --no-decorate origin/HEAD...、git diff --merge-base origin/HEAD 等只读命令；也支持未提交/暂存、指定 PR（gh pr diff）、指定文件或整个代码库等范围。第二步先理解代码库上下文，包括使用的安全框架/库、既有安全模式、信任边界。第三步按漏洞分类逐一排查注入、认证与授权、加密与密钥、代码执行、Web 漏洞、数据暴露等，并追踪数据流。第四步用误报规则做第二轮过滤，剔除硬排除项并评分，低于 8/10 丢弃。第五步按固定格式输出 Markdown 报告。第六步可选，仅在用户要求时逐个修复。
使用方式：将技能放入 Claude Code 的 .claude/skills/security-review/ 可自动加载，或复制到 .claude/commands/security-review.md 获得斜杠命令；在 Cursor/Windsurf/Cline 中加入 SKILL.md 到规则/上下文，然后要求运行安全审查；Codex/Gemini CLI 等可从 AGENTS.md 引用或粘贴文件后请求审查。全部为普通指令加标准 git，无需特定代理功能，子代理仅加速第四步。
适用场景：审查分支待提交变更、暂存内容、特定 PR 或指定代码路径的安全影响。
限制：仅审查新引入的风险，不评论未改动代码中的既有问题；不报告拒绝服务/资源耗尽、限流、静态密钥、纯加固建议、理论竞态、依赖版本问题、测试或文档中的发现等。需引用真实 file:line，不得虚构。修复仅在用户明确要求时进行，且需最小改动。其他细节暂未提供。