用途：作为收尾验证关卡，在 wrap 运行时测试前对已构建的 .ppmplugin 做静态审计，提前发现会导致上传失败或设备端加载失败的问题，避免消耗一次完整的 wrap 构建往返。
主要能力：对包做只读检查，解压到临时目录，绝不修改原文件。检查分为六类——压缩包结构（manifest.json 在根、只含 android/ 与 ios/ 声明切片、无 TS/JS 层、无构建目录等）；manifest 模式与校验规则（名称格式、规范前缀、保留前缀、方法列表、版本字段等）；manifest 与包内二进制的一致性；Android DEX 完整性及 SDK 泄漏字节扫描；iOS framework 结构；以及源码到 receiver 的契约检查。发现项按 CRITICAL、WARNING、INFO 分级，会收集全部问题以便一次性修复。
使用方式：技能名 /audit-ppmplugin，可传入路径或目录，否则默认审计仓库根目录下最近构建的 ppmplugin/<name>.ppmplugin。依赖 jar（JDK 17）；DEX 扫描优先用 dexdump，其次 strings，两者都没有时降级为警告。
限制：不构建、不打包、不编写内容；不就地修补 zip，修复需回到上游技能（如 /generate-ppmplugin-manifest）后重新组装并审计；不上传到 Dataverse 或接入 canvas 应用。本地仅检查已知的不兼容名称子集，干净结果不保证上传服务接受该名称。报告中“READY TO UPLOAD”仅表示通过本地验证。具体实现细节与部分规则以共享文档为准。