用途：审计代码中配置访问的架构边界，判断代码是否直接读取原始环境变量/配置，而非依赖设置契约。
主要能力：检查分散的环境变量读取（如 process.env、os.getenv、os.environ、os.Getenv 及 .NET/Java 直接访问）；检查缺失的类型化设置边界（原始字典、Record<string,string>、Map<String,String>、未类型化配置对象、重复的原始配置参数）；检查配置归属泄漏（仓储、领域服务或工具模块自行加载配置，多个模块各自构造配置读取器，领域逻辑深处按部署配置分支）。输出 ADD_SETTINGS_BOUNDARY、STOP_SCATTERED_ENV_READS 或 TYPE_CONFIG_CONTRACT 动作，计算 X/10 合规评分，报告写入 {output_dir}/ln-647--{identifier}.md。
使用方式：接收 contextStore（技术栈、代码库根、output_dir、domain_mode、scan_path），先做候选扫描再做上下文验证；优先使用 hex-line MCP 读取与搜索，符号分析用 hex-graph，MCP 不可用时回退 Read/Grep/Glob/Bash 并在报告中说明。需读取 references/audit_worker_core_contract.md、mcp_tool_preferences.md、audit_scoring.md、audit_output_schema.md 及报告模板。
适用场景：配置架构审计、分层架构中配置访问合规检查。
限制：不审计 .env 清单、.env.example 完整性、已提交环境文件或密钥卫生；不涉及包安全、构建门禁、运行时启动校验与生命周期就绪；不生成环境文件、不修改配置；只报告不自动修复；无分层架构的小脚本/CLI 会降级或跳过；框架管理的引导配置访问与仅测试的环境读取会跳过。