用途：为项目提供系统化的安全审计清单，依据 OWASP Top 10（2021）与行业最佳实践，帮助在部署前排查常见安全风险。
主要能力：支持整体审计与按类别审计，命令包括 /ai-factory.security-checklist（完整清单）、auth（认证与会话）、injection（SQL/NoSQL/命令注入）、xss、csrf、secrets（密钥与凭据）、api、infra（基础设施）、prompt-injection（LLM 提示注入）、race-condition（竞态与 TOCTOU）。还提供 ignore <item> 用于忽略特定检查项。
忽略机制：审计前会读取项目根目录的 .ai-factory/SECURITY.md，其中记录团队决定忽略的检查项。执行 ignore 时会读取或创建该文件、询问忽略原因、按表格格式（Item、Reason、Date、Author）写入并确认。审计时被忽略项不计为发现，而是在末尾“⏭️ Ignored Items”区域展示原因与日期。条目命名建议使用短 kebab-case ID，如 no-csrf、no-rate-limit、no-https、no-xss-csp、no-sql-injection、no-prompt-injection、no-race-condition、no-secret-rotation、no-auth-{route}、verbose-errors 等。
自动化审计：可运行 bash ~/{{skills_dir}}/security-checklist/scripts/audit.sh，检查硬编码密钥、.env 是否被 git 跟踪、.gitignore 配置、npm audit 漏洞、生产代码中的 console.log 以及安全 TODO。
覆盖范围：部署前关键项（密钥、输入校验、认证、HTTPS、注入、XSS、CSRF、限流、错误信息、依赖扫描、LLM 提示注入、竞态）；认证与会话（密码哈希 bcrypt/argon2、会话管理、JWT 安全）；注入防护；XSS 与 CSP；CSRF；密钥管理（含 git 历史清理命令）；API 安全；基础设施安全（安全响应头、依赖审计命令）；竞态条件与 TOCTOU。
限制：资料未提供该技能的安装方式、支持平台、收费与价格信息，暂未提供。