用途：该技能提供一套以安全为核心的代码审查清单，供审查代码时逐类检查潜在漏洞，并参考 references/security-checklist.md 中的详细清单。
主要能力：覆盖五类检查。注入漏洞包括 SQL 注入（查找数据库查询中的字符串拼接）、命令注入（检查传给 shell 命令 exec、spawn 的未净化输入）、XSS（检查渲染到 HTML/模板中的未净化用户输入）、路径遍历（检查未净化的用户输入用于文件路径）。认证与授权包括核对受保护路由/端点上的认证检查、确认授权检查与所需访问级别匹配、查找权限提升路径（如用户可修改他人数据）、检查密码/令牌比较是否使用常量时间比较。密钥与凭证包括硬编码 API 密钥、密码、令牌或连接字符串，可能被提交的配置文件中的密钥，日志或错误消息中的敏感数据，通过 URL 查询参数传递的凭证。输入验证包括验证并净化所有外部输入（用户输入、API 响应、文件内容），检查 API 端点缺失或薄弱的输入验证，确认类型强制转换不会绕过验证，查找过于宽松的 CORS 或 CSP 配置。数据暴露包括 API 响应中不必要返回的敏感数据、应用日志中的 PII 或密钥、错误消息中的信息泄露（堆栈跟踪、内部路径）、敏感字段缺少加密。
严重级别：🔴 CRITICAL 为可利用漏洞（注入、认证绕过、暴露的密钥）；🟠 HIGH 为需调查的潜在漏洞；🟡 MEDIUM 为安全弱点或缺失最佳实践；🔵 LOW 为次要安全改进建议。
使用方式与限制：资料未提供具体的安装命令、调用步骤或平台要求，暂未提供。该技能定位为审查清单，不包含自动化扫描或修复功能，实际效果取决于使用者是否逐项核对；具体实现细节和用法需以官方资料为准。