用途：对代码进行安全导向的审查，按固定类别逐项排查漏洞与风险，并参考 references/security-checklist.md 中的详细清单。
主要能力：注入漏洞（SQL 注入中的字符串拼接、传给 exec/spawn 等 shell 命令的未净化输入、XSS、无净化的路径穿越）；认证与授权（受保护路由的身份验证、权限级别匹配、权限提升路径、密码/令牌的常量时间比较）；密钥与凭据（硬编码密钥、可能被提交的配置密钥、日志或错误信息中的敏感数据、通过 URL 查询参数传递凭据）；输入验证（校验与净化所有外部输入、API 端点的弱验证或缺失验证、类型强制转换绕过验证、过于宽松的 CORS/CSP）；数据暴露（API 响应中不必要返回的敏感数据、日志中的 PII 或密钥、错误信息中的栈追踪和内部路径泄露、敏感字段未加密）。
严重级别：🔴 CRITICAL 为可利用漏洞（注入、认证绕过、密钥暴露）；🟠 HIGH 为需调查的潜在漏洞；🟡 MEDIUM 为安全弱点或缺失最佳实践；🔵 LOW 为轻微安全改进建议。
使用方式与限制：资料未提供具体安装命令、参数或运行步骤，仅给出审查时逐类检查的做法。适用于代码审查与安全排查场景。