用途：对代码进行威胁感知的安全审计，识别漏洞并按风险排序给出修复方案。
主要能力：采用 STRIDE 框架做威胁建模（仿冒、篡改、抵赖、信息泄露、拒绝服务、权限提升），构建攻击树，识别信任边界；梳理攻击面，包括 HTTP/API 接口、WebSocket、文件上传、OAuth/SAML、Webhook 及用户输入、文件内容、数据库查询等，并按认证级别分类、记录是否限流/日志/加密；按 OWASP Top 10（2021）与 CWE 检查漏洞，覆盖注入、访问控制、加密失效、认证失败、SSRF、组件漏洞等；使用 CVSS 对齐的严重级别（Critical 9.0-10.0、High 7.0-8.9、Medium 4.0-6.9、Low 0.1-3.9）；输出发现格式（严重级别、类别、CWE、文件行号、问题、影响、修复）与审计报告模板。
使用方式：按固定流程循环推进——威胁模型→攻击面→漏洞扫描→风险评估→修复计划，并用 TodoWrite 跟踪每个阶段；依赖扫描可使用 npm audit、cargo audit。阶段顺序化，前一阶段完成后触发下一阶段。
适用场景：安全审计与代码审查、认证/授权评审、输入校验与净化检查、加密实现审查、依赖与供应链安全、新功能威胁建模。
限制：不用于性能优化、常规代码审查和功能实现；不假设输入可信、不依赖客户端安全、不使用 MD5/SHA1/DES 等过时加密、不记录敏感数据。资料未提供安装命令、收费信息与具体平台支持说明。