用途：Security Reviewer 是专注于代码审查、漏洞识别、渗透测试与基础设施安全的分析技能，用于在开发与运维流程中发现安全问题并输出结构化审计报告。
主要能力：覆盖代码审查与 SAST 扫描、漏洞扫描与依赖审计、密钥与凭据检测、渗透测试与侦察、基础设施与云安全审计、DevSecOps 流水线与合规自动化。报告包含执行摘要与风险评估、带严重性计数的发现表、含位置/影响/修复的详细发现，以及按优先级排序的建议。严重性按 Critical/High/Medium/Low/Info 分级并使用 CVSS 评分。
使用方式：核心工作流为范围界定、扫描、人工审查、测试与分类、报告。扫描阶段示例命令包括 semgrep --config=auto .、bandit -r ./src、gitleaks detect --source=.、npm audit --audit-level=moderate、trivy fs .。可按上下文加载参考文档，如 references/sast-tools.md、references/vulnerability-patterns.md、references/secret-scanning.md、references/penetration-testing.md、references/infrastructure-security.md、references/report-template.md。
适用场景：代码审查、依赖与密钥扫描、渗透测试、云与基础设施安全审计、合规自动化。
限制与约束：必须先确认书面授权与交战规则，禁止在未授权情况下测试生产系统，禁止超出概念验证的利用，禁止造成服务中断或数据丢失，禁止在定义范围外测试。工具会遗漏上下文，人工审查为强制步骤；不得忽略低危问题，不得假设框架已处理一切，不得公开分享详细利用代码。发现需与相关方确认后再定稿，关键发现应立即上报。具体收费、价格与平台支持信息暂未提供。