用途：对代码库执行系统化安全审计，识别漏洞、不安全模式与配置问题，适合部署前审查、安全事件响应、周期审计、重大功能上线后的控件验证及合规准备。
主要能力（按阶段）：一、侦察，用 precision_grep 梳理架构、技术栈与攻击面，定位认证、授权、API、数据库、文件、支付、管理后台。二、认证审计，检查会话管理（cookie 的 httpOnly、secure、sameSite、过期与登出失效）、JWT 弱密钥、密码哈希（bcrypt/argon2/scrypt/pbkdf2）、明文存储与日志泄漏、MFA（TOTP、备用码、WebAuthn、限流）。三、授权审计，检查服务端身份与资源归属校验、管理员角色校验，识别 IDOR、越权与仅前端校验；含 RBAC 与权限函数示例。四、输入校验审计，排查 SQL 注入（原始查询、字符串拼接）、XSS（dangerouslySetInnerHTML、innerHTML、v-html）、命令注入（exec/spawn 传入用户输入）、路径穿越（../、编码绕过），给出参数化查询、DOMPurify 净化、命令白名单、路径规范化与目录边界校验示例。五、数据保护审计，检查静态加密（AES-256-GCM、密钥管理、密钥轮换）、PII 收集/日志/留存与 GDPR/CCPA 导出删除、密钥管理（硬编码密钥、提交 .env、客户端暴露、默认凭据）。
使用方式：以技能形式加载，随附 scripts/validate-security-audit.sh 与 references/security-patterns.md；文档以 precision_grep 查询模板与安全/不安全代码对照展示，命令保持原样。触发条件包括用户要求“检查安全问题”、安全审计、漏洞评估或加固，也可在任务涉及安全审查时主动加载。
适用场景与限制：适合代码库安全审查与加固指导；具体漏洞结论需结合人工复核。原文未提供安装命令、价格或平台支持信息。