security-code-review 是 FlashDreams 项目使用的安全代码审查技能，目标是把代码审查当作发布控制手段，而不是走形式。它强调审查者要对代码是否可投入生产、是否符合政策、是否足够安全负责；如果审查者不能为结果背书，就不应批准。
用途：该技能用于安全敏感的变更、发布关键路径以及最终合并批准。审查者需要结合上下文阅读变更，追踪受影响的行为和信任边界，并按需检查调用方、配置、测试、部署和依赖影响，不能仅凭 diff 批准，也不能假设别人已经检查过。
主要能力：技能给出通用 MUST 检查项，包括代码质量、测试覆盖与边界情况、CI 与依赖完整性、文档与接口变更说明；安全 MUST 检查项包括密钥与凭据、输入处理与注入路径、依赖漏洞与 SBOM 影响、访问控制与提权路径、敏感数据与 PII 处理。它还提供一套主动使用的安全审查清单，覆盖静态分析与 SCA、信任边界输入验证、长度与范围检查、失败返回错误、C/C++ 与 Python 安全函数使用、变量初始化与类型与作用域、编译安全标志与故障注入、错误处理与资源清理、密码学与密钥、访问控制与并发（最小权限、共享资源、竞态、后门）。
使用方式：审查者应逐项核对应检查项，记录证据或发现，而不是默认通过；只有给出简短理由时才可标记不适用。发现问题时应先给出具体、可修复的发现，指出受影响路径或信任边界、不安全行为、现实触发条件和所需修复，并区分阻塞性安全或政策问题与可选加固及普通可维护性意见。最终批准必须由 .github/CODEOWNERS 中通配行列出的 GitHub 用户或团队完成，变更作者或提交者不能担任最终审查者。合并强制方面，需在主分支规则或 ruleset 中要求拉取请求、一次批准和 Code Owner 审查，禁用必需拉取请求绕过，并确保保护适用于管理员；列出的所有者需有仓库 Write 或更高权限，团队需可见。
适用场景：安全敏感改动、发布关键路径、最终合并批准，以及需要把审查责任、证据与合并门禁绑定起来的团队流程。
限制：该技能依赖 GitHub 的 CODEOWNERS 与分支保护机制；自动化扫描和 AI 都不能替代有资格的人类最终批准；已知或未完成的风险需要可追踪的负责人接受记录，包含批准人、理由和限期修复，不能当作普通批准处理。