用途：security-verify 提供多种安全验证模式，覆盖静态扫描、动态测试、合规检查、漏洞评分与逻辑审计，适合在提交前、发布前或健康检查流程中调用。
主要能力与用法：
- scan：基于模式的 SAST 扫描，检查硬编码密钥、SQL 注入、XSS、命令注入、不安全反序列化、弱加密、多租户越权、Cookie 配置等，并附带依赖审计（pip-audit、npm audit）。执行：bash "$HOME/.claude/skills/security-verify/lib/scanner-runner.sh" "${TARGET_PATH:-.}"，加 --staged 仅扫描暂存文件。
- dast <url>：对运行中的应用做动态测试，Tier 1 用 curl 检查安全头、Cookie、CORS、TLS、信息泄露、开放重定向、HTTP 方法；安装 nuclei 后可启用 Tier 2 的 CVE 与认证绕过模板。执行：bash "$HOME/.claude/skills/security-verify/lib/dast-runner.sh" "http://localhost:8000" [--nuclei] [--timeout 3]。结果区分 ACTIVE 与 POTENTIAL，退出码 0/1/2 分别表示无高危、发现高危、URL 不可达。
- owasp：按 OWASP Top 10 2021 逐项自动检查并标记 Pass/Partial/Fail。
- assess：对漏洞做 CVSS v3.1 评分并按 P0–P3 优先级给出修复建议。
- audit：对抗式逻辑级代码审计，查找认证绕过、IDOR、竞态、会话固定、缺失归属校验等，输出含 CWE、严重度、位置、利用场景与修复方案。
- full：依次运行 scan 与 audit 并合并报告。
适用场景：提交前快速扫描、发布前深度审计、对本地或预发环境做动态测试、OWASP 合规核查。
限制与注意事项：DAST 需应用已运行；audit 耗时以分钟计，不适合提交前；macOS 自带 bash 3.2 不支持 --staged；Bandit 需 Python ≤3.13；projects/、.archive/、.venv/ 中的发现多为误报；JS 依赖审计仅对 CRITICAL 阻断。具体安装与配置细节资料未完整提供。