用途：security-auditor 是 musubi 项目提供的安全审计技能，触发词包括 security audit、vulnerability scan、OWASP、security analysis、penetration testing、security review、threat modeling 等。它面向应用代码、基础设施配置和依赖进行漏洞检测，并给出具体修复方法。
主要能力：覆盖 OWASP Top 10（2021）A01 访问控制缺陷、A02 加密失败、A03 注入（SQL/NoSQL/命令）、A04 不安全设计、A05 安全配置错误、A06 脆弱组件、A07 认证失败、A08 数据完整性失败、A09 日志与监控失败、A10 SSRF；并涉及 XSS、CSRF、点击劫持、开放重定向、API 安全（OAuth 2.0、JWT、RBAC/ABAC、速率限制、输入校验）、容器与云安全、密钥管理、数据加密与 PII 保护、GDPR/CCPA 合规等。
使用方式：技能内置 SecurityAnalyzer 模块（src/analyzers/security-analyzer.js），可 require 后创建实例，配置 strictMode、allowedCommands、ignorePaths，调用 analyzeContent、validateAction、generateReport 进行检测与报告。检测类别包括 Secrets、Dangerous Commands、Vulnerabilities、Network Risks，风险等级为 CRITICAL、HIGH、MEDIUM、LOW、INFO。可集成到提交前检查、CI/CD 流水线阻断和交互式审计。文档提到 CLI 集成（musubi-analyze security --file ...）为 planned 状态。
交互流程：分 5 阶段，先逐条提问确定审计范围、应用类型、技术栈、敏感数据、合规标准、既有防护、历史事件与审计深度，再执行扫描，最后输出含风险评分与修复建议的报告。
限制：资料未提供安装命令、价格、平台支持与效果数据；CLI 命令标注为计划中；文档要求同时产出英文与日文版本，并以英文版为引用基准。