用途：对代码和项目做全面安全审计，覆盖 OWASP Top 10:2025 十大风险、依赖漏洞、敏感信息泄露、认证授权等，发现问题的同时给出修复代码或方案。触发词包括安全审计、安全检查、漏洞扫描、安全评估、security audit、OWASP、vulnerability scan 等。
主要能力：一是按 OWASP Top 10:2025 逐项检查访问控制缺陷、安全配置错误、供应链风险、加密失败、注入攻击、不安全设计、认证失败、完整性缺陷、日志与监控不足、异常处理不当，并附危险与安全代码对照；二是依赖安全检查，识别 manifest 与 lock 文件、已知 CVE、弃用库、过宽版本范围及自动更新配置；三是敏感信息泄露检测，涵盖硬编码凭据、.env 与配置文件、日志与错误输出、.gitignore 与 Git 历史；四是语言特定陷阱审查，涉及 JS/TS、Python、Java、Go、PHP、Ruby、C/C++、Rust、Shell 的高频漏洞模式。
使用方式：按五阶段推进——确定审计范围与项目背景、OWASP Top 10 逐项检查、依赖安全检查、敏感信息检测、输出报告。报告含审计概览与安全评级（A/B/C/D/F）、按高/中/低危分级的发现（含 OWASP 分类、CWE 编号、文件行号、描述、影响与修复方案）、依赖安全状况、敏感信息检查、加固建议与审计结论。
适用场景：面向公网 Web 应用、内部 API、支付金融数据、用户隐私数据等项目代码审计；可按项目类型调整优先级。
限制：不具备渗透测试、运行时监控与 WAF 配置、网络层扫描、运行 DAST/SAST 工具、合规认证正式评估及应急响应能力；能力缺口会在报告完成后如实告知。