用途：对 GitHub 拉取请求（PR）或 issue 中的代码变更做安全审查，生成带逐类结论的结构化报告。可在大合并前查漏洞、对报告潜在安全缺陷的 issue 做初步判断、审计硬编码密钥、注入缺陷、认证绕过或不安全配置。
前提：需安装并认证 gh（GitHub CLI）、可用 git，并有网络以克隆仓库和获取 PR 元数据。
使用方式：先用 URL 解析出 owner、repo 和编号，支持 https://github.com/OWNER/REPO/pull/NUMBER 与 https://github.com/OWNER/REPO/issues/NUMBER。已在目标仓库时执行 gh pr checkout <number>；不同仓库则先克隆到临时目录再检出。用 git diff main...HEAD --name-status 列出变更文件，并用 gh pr view <number> --json baseRefName -q .baseRefName 确认目标分支，再逐文件读取完整内容与 diff（git diff main...HEAD -- <file>）。超过 30 个文件时按认证/授权/凭据、处理用户输入、配置文件、新增依赖、其余的优先级排序。
审查清单共 9 类，每类给出 PASS、WARNING 或 FAIL：密钥与凭据；输入验证与数据清洗；认证与授权；依赖与第三方库；错误处理与日志；密码学与数据保护；配置与安全响应头；安全测试；整体安全态势。输出含 Verdict、Findings Table（列：编号、类别、严重度、文件:行、说明、建议）、Detailed Analysis、Files Reviewed。
限制：若 PR 无变更文件或为无代码草稿，应说明并跳过分析；不得跳过类别，不适用时标 PASS 并注明；严重度存疑时按 WARNING 处理；对 NemoClaw PR 需特别关注沙箱逃逸向量。其他细节暂未提供。