用途：对用户自己的仓库做防御性安全审计，发现并修复依赖漏洞与代码层面的风险，用于加固而非攻击或规避检测。适用于“跑一次安全审计”“我们是否有漏洞”“检查依赖 CVE”、CVE 披露后排查、main 分支定期卫生检查。与内置 /security-review 不同：后者审查当前分支待提交 diff，本技能扫描整个已提交仓库（含依赖），二者互补。
主要能力：1）依赖漏洞扫描，按生态选择工具：npm/pnpm/yarn 用 npm audit --json / pnpm audit --json / yarn npm audit --json；Python 用 pip-audit（优先）或 safety check；Go 用 govulncheck ./...；跨语言可用 osv-scanner 扫描 lockfile。2）代码模式只读 grep/静态检查，仅关注高信号问题：硬编码密钥/令牌、对输入使用 eval/动态执行、字符串拼接 SQL、敏感路由缺少授权检查、禁用 TLS 校验、不安全反序列化、过宽 CORS；若项目已配置 SAST/linter 安全规则（eslint-plugin-security、bandit、gosec）则优先使用。发现疑似泄露密钥时只报告 path:line 与类型，绝不打印密钥值。
风险排序：按严重度 × 可利用性 × 可达性排序，而非原始 CVSS。Critical/High 且可达、有修复则立即修（第一波）；Moderate 且可达本次修；Low 或应用代码不可达通常报告并延后；仅传递依赖且无直接升级路径则标记并注明阻塞的父依赖。需说明每个问题的修复版本或缓解措施。
修复与验证：依赖 CVE 用最小版本变动清除，优先补丁版 minor，仅当唯一修复是 major 时才升级并加门禁；代码问题应用具体修复（参数化查询、密钥移入环境变量并标记轮换、补授权检查），每个修复独立小波次。每波后重跑扫描器，确认发现消失且测试/构建保持绿色，不得通过抑制或加入允许列表来解决。已泄露的活跃密钥必须标记轮换，从代码删除不等于安全。
限制与注意：避免审计疲劳而整体忽略，应按可达性分诊；允许列表中的公告仍是漏洞；只引用位置与类型不输出密钥值；不要只查依赖，代码问题同样常见，两遍都要跑。配套命令：/absolute upgrade 执行依赖版本升级，/security-review 覆盖待提交 diff，/absolute work 处理需要重构的修复。具体安装与调用方式资料未提供。