用途：在发布候选前，对比任意两个 Git 引用（BASE_REF → TARGET_REF），审计安全与供应链风险，并通过官方 Codex 插件做独立 AI 交叉验证。
主要能力：检查源码 diff 的安全回归；分析直接与传递依赖变更及锁文件确定性；深度检查 node_modules 中新增依赖的安装脚本、入口、原生产物与敏感关键字；审查 .github/workflows 与 Expo/EAS 构建配置风险；合并主审计与 Codex 发现并标注置信度。
使用方式：先确认审计范围，若用户未提供两个引用需询问一次。执行前检查 Codex 是否就绪（可用 /codex:setup），未就绪则降级为无交叉验证模式。随后按步骤执行：验证引用（git rev-parse --verify "${BASE_REF}^{commit}"）、列出变更文件（git diff --name-status "${BASE_REF}..${TARGET_REF}"）、收集关键 diff、依赖增量、锁文件检查（yarn install --immutable 或 --frozen-lockfile）、漏洞扫描（yarn audit、osv-scanner）、新依赖检查、源码审查、CI/CD 审查，最后通过 Agent 调用 codex:codex-rescue 做交叉验证并合并结果。
输出：中文 Markdown 报告，文件名含引用以避免覆盖，格式为 security-audit__${BASE_REF_SAFE}to${TARGET_REF_SAFE}.md，标题含引用。
限制：不得输出或粘贴助记词、私钥、API 密钥等机密；命令输出可能含机密时需脱敏。Codex 未就绪时审计降级但仍继续。diff 过大（>50KB）时需优先选取依赖、安全关键源码与 CI 配置，并注明省略区域。部分扫描工具缺失时记录未运行及原因。