用途：对 PR、commit 或整个代码库做以 OWASP Top 10 为重点的静态安全审查，只识别漏洞、解释风险并给出修复思路，不修改代码、不提交变更。
主要能力：按 OWASP 类别分工扫描，覆盖访问控制、认证、安全配置错误、不安全设计、注入、数据完整性、加密失败、供应链表面（缺失 SRI、无 lockfile、削弱包完整性的 CI 设置）、字节码/编译代码安全、日志监控与异常处理。每个发现需引用具体文件路径与行号、真实代码片段，并给出严重级别（Critical/High/Medium/Low）和 2-3 个修复方向。
使用方式：review-security 123 扫描 PR #123 变更文件；review-security abc123def 扫描某 commit；review-security --all 或省略参数扫描整个代码库；可加 --scope web|api|mobile|backend|frontend 聚焦类别。PR 用 gh pr view <pr_number> --json files --jq '.files[].path' 取变更文件，commit 用 git diff-tree --no-commit-id --name-only -r <commit_sha>。
适用场景：代码评审前的安全把关、PR 增量安全扫描、按 Web/API/移动/前后端范围做定向检查。
限制：不做动态测试或渗透测试；不审计依赖 CVE、版本与许可证（应使用 review-deps）；不自动修复；静态模式匹配无法保证 100% 检出；OWASP 类别编号可能变动，标注前需核对 owasp.org/Top10/。无 Task 工具时改为内联顺序执行。具体安装命令与价格暂未提供。