用途：为 WordPress 插件的 REST 接口做审计，生成标准化审计文档，作为「为插件注册 Abilities API 能力」的实施规划产物。适用于尚无审计文档、需要跨插件能力推广的可共享审计工件、或实施前评估插件 agent 就绪度。
主要能力：枚举 REST 控制器并生成控制器清单表；为每个控制器提取类、文件、HTTP 方法、路由、注册行号、回调名与行号、权限回调、是否接收 WP_REST_Request、返回类型；追踪权限门（current_user_can 或文章类型权限机制），区分读写权限时用 {read, write} 对象表示；按语义意图分组提出候选能力，填写 name、intent、backing、permission、return_type、effort、annotations、notes、risks、use_case_fit、side_effects、seed_data_needs；输出 excluded_from_mvp、surfaced_gaps 与逐能力风险；可选标记首个能力为 reference_ability。
使用方式：需先运行 wp-project-triage，并提供插件检出路径、审计者身份、明确的输出路径。流程为枚举控制器、提取字段、确认权限门、按语义意图分组提出能力、梳理缺口、写入审计文档。文档结构须匹配 audit-schema.md：更新时间头、YAML 块、控制器清单表、Notes and Surprises。
限制：插件无 REST 控制器时审计不适用；继承自其他仓库的控制器可用 inherited_from 标注，行号可为空；零参数且 permission_callback 为 '__return_true' 的接口不得把该回调带入能力注册；输出路径应显式指定，不应写入插件工作区。