用途：对代码 diff 和 Pull Request 做以安全为核心的审查，识别新引入的漏洞、安全回归与不安全模式。资料限定仅用于授权场景：自有仓库的 PR 安全审查、CI/CD 中的预合并安全校验、变更中的安全回归检测、代码修改的合规验证，以及受控环境中的教育用途。
主要能力与流程： 一、获取 diff，命令保持原样：git diff --cached、git diff HEAD~1..HEAD、gh pr diff <PR-NUMBER>、git diff --cached -- src/auth/ src/api/、git diff -U10 HEAD~1..HEAD、git diff --name-only HEAD~1..HEAD、git diff --stat HEAD~1..HEAD。 二、按安全敏感度对待审文件分级：P0 为 auth/security/crypto、.env 与 secrets、middleware/guards/validators；P1 为 api/routes/controllers、依赖清单、Dockerfile 与 yaml；P2 为 models/db/queries 与 utils/helpers；P3 为 tests 与 docs。 三、按维度分析：输入校验、认证与授权、数据流（注入、XSS、路径穿越、命令注入、开放重定向）、加密（算法降级、密钥长度、硬编码密钥/IV、ECB）、错误处理（堆栈泄露、fail-open）、依赖变更。 四、以内联结构化注释输出发现，格式为 SECURITY [SEVERITY] + 位置 + CWE/OWASP 类别 + 影响 + 修复建议，严重级别为 CRITICAL、HIGH、MEDIUM、LOW、INFO。 五、产出差异化安全报告并给出结论：APPROVE、APPROVE WITH CONDITIONS、REQUEST CHANGES、BLOCK。 六、自动化扫描：semgrep scan --config=p/security-audit --baseline-commit=main 等命令，可输出 SARIF；并提供用 git diff 配合 grep 检查密钥、危险函数、被删除安全中间件与遗留安全标记的做法，以及 GitHub Actions 配置示例。
限制与说明：资料未提供具体安装方式、收费与价格、支持平台、实际效果数据。工具强调必须先做 P0–P3 分级再审查；不得把删除认证、CSRF、限流、helmet 等安全中间件当作普通重构，须标记 CRITICAL；必须使用 git diff -U10 获取充足上下文；新增公开端点须核实认证中间件；删除行与新增行同等重要。相关资料另提及 memory protocol 与若干相关技能，但具体实现细节暂未提供。