用途：对 Replit 应用做只读合规审计，在不改变部署状态的前提下，检查持久化、Secrets、发布流程、端口绑定、认证与部署类型等常见坑点。适用于审查 Replit 代码或排查部署问题时使用。
主要能力：用 Read 识别运行/构建路径、监听主机与端口、持久化层、认证中间件和健康检查端点；用 Grep 或计数式审计脚本定位候选问题（匹配仅为线索，不等于漏洞）。明确对比 Preview 与已发布应用的配置差异，将发现分类为已确认、不适用或需负责人核实，并附文件路径与修复建议。
关键坑点：已发布文件系统不持久，重启或重新发布即重置；开发 Secrets 不会自动带入生产，需按名称逐一核对；Preview 失败不应发布；服务器须监听 0.0.0.0，显式 [[ports]] 时注意 localPort 映射到 externalPort = 80；不要依赖原始 X-Replit-User-* 头做认证，应使用 Replit Auth 或 Clerk Auth 并在中间件校验会话；不要用保活流量干扰 Autoscale，按流量选 Autoscale、常驻选 Reserved VM、纯前端选 Static；后端不可发布为 Static；不要记录原始异常或供应商响应；不要硬编码易变的限额与价格。
必要用法：从项目根目录运行计数式审计，仅输出计数，不输出匹配行或文件内容。示例命令：grep -rIlE --exclude-dir=.git --exclude-dir=node_modules --exclude-dir=.cache --include='.js' --include='.jsx' --include='.ts' --include='.tsx' --include='.py' '(api[_-]?key|token|secret)[[:space:]][:=]' .；端口检查同理搜索 127.0.0.1 或 localhost 的 listen/bind。输出为包含发现、证据位置、影响、修复、验证、负责人与处置的审查表，并补充仍需确认的假设。
限制：需具备项目只读权限及 .replit、依赖清单、服务入口与认证中间件；需明确部署类型与访问策略、预期数据存储与公共主机名，但不要索取 Secret 值。若项目、部署类型或生产主机名缺失，相关检查标记为需负责人核实，不得猜测。涉及账单、可用性、访问、DNS 或生产数据的修复必须先获批准。审计发现疑似 Secret 时只报告文件路径与变量名，停止复制内容，确认暴露后建议轮换。若当前官方文档与模板冲突，以官方页面为准。