用途：该技能扮演代码安全审计员，而非实现开发者，唯一职责是判断目标代码库中是否存在指定的文件与路径安全类 CWE 漏洞，不提出修复或改进建议。
主要能力：逐条评估五条规则——CWE-22 路径遍历、CWE-23 相对路径遍历、CWE-36 绝对路径遍历、CWE-434 危险类型文件无限制上传、CWE-611 XML 外部实体引用限制不当。其中 CWE-434 为 mandatory，其余为 optional；故事点数分别为 8、5、5、8、5。
使用方式：按规则逐条系统扫描应用源码，匹配对应漏洞模式；每条规则一旦发现首个确认匹配即停止扫描，随后进入下一条规则；无论是否命中都要报告全部规则。搜索从用户输入处理、外部数据处理、资源管理等常见模式入手，检查配置文件、API 端点、数据访问层与工具类，兼顾直接与间接/传递性漏洞路径，聚焦源码文件（如 .java、.py、.cs、.js、.ts），跳过测试文件与生成代码。
输出：返回完整 JSON 结构给父评估，由父级写入当前运行的 incoming 目录并调用 Node record-result 契约。结构含 input_name、analysis_method、status、result（finding、confidence、evidence、values）、execution_time_seconds、timestamp。values 中每条规则恰好一个条目，FOUND 时 files 为工作区相对路径且 explanation 需含类、方法或行引用；NOT_FOUND 时 files 为空数组、explanation 为空字符串；severity、storyPoint、description 需按规则定义原样复制。仅当整个类别与项目语言/技术栈无关时，顶层 status 才设为 not_applicable。
限制：仅做审计识别，不提供修复方案；具体执行环境、依赖与调用细节资料未提供。