用途：审计环境变量配置的一致性与规范性，覆盖代码、.env 文件、docker-compose 和 CI 配置，适用于多语言项目（JS、Python、Go、.NET、Java、Ruby、Rust）。
主要能力：共 11 项检查，分四类。文件清单（C1.1-C1.3）：检查 .env.example/.env.template 是否存在、.env 是否被提交（密钥风险）、是否有按环境区分的文件结构。变量同步（C2.1-C2.3）：代码中使用但示例缺失的变量、示例中已失效的死变量、代码与示例及 docker-compose 之间的默认值不一致。命名与质量（C3.1-C3.3）：命名规范（SCREAMING_SNAKE_CASE）、前缀一致性、冗余变量、.env.example 缺少注释。启动校验（C4.1-C4.2）：是否在启动时校验必填变量、敏感变量是否存在硬编码默认值。最终按严重级别计算合规评分（X/10）。
使用方式：作为 L3 Worker 运行，接收包含技术栈、代码库根目录、输出目录、domain_mode、scan_path 的上下文。先读取 references/audit_worker_core_contract.md、mcp_tool_preferences.md、mcp_integration_patterns.md、two_layer_detection.md 和 config_rules.md。优先使用 hex-graph、hex-line 等 MCP 工具，不可用时回退到内置 Read/Grep/Glob/Bash 并在报告中说明。报告写入 {output_dir}/ln-647--{identifier}.md。
限制：只报告、不自动修复，绝不修改 .env 或代码；C2.x、C4.x 必须做第二层上下文校验；C2.3 默认值分析仅限前 50 个变量；不含源码硬编码密钥检测、.gitignore 模式检查、环境文件生成等范围外的内容；具体安装命令与价格暂未提供。