Security Auditor Skill 是一个自动化的安全漏洞检测技能，用于在开发流程中持续扫描安全问题。
用途 该技能用于在代码审查、部署或提交之前，以及依赖或配置变更时，自动检测安全漏洞和不安全模式。它侧重于快速识别常见漏洞模式。
激活时机 当以下情况发生时触发：代码文件被修改（尤其是认证、API、数据库相关文件）；用户提及安全或漏洞；部署或提交之前；依赖发生变化；配置文件发生变化。
主要扫描内容 该技能检测 OWASP Top 10 模式及常见问题，包括：
- SQL 注入：使用参数化查询替代字符串拼接。
- XSS（跨站脚本）：使用 textContent 或 DOMPurify.sanitize 替代直接 innerHTML。
- 认证问题：使用来自环境变量的强 JWT 密钥，避免弱密钥。
- 敏感数据暴露：避免硬编码密码，使用环境变量。
- 访问控制失效：添加授权检查，如 auth、checkOwnership。
- 其他检查：不安全的反序列化、安全配置错误、日志不足、缺少 CSRF 保护、CORS 配置错误。
警报格式 警报包含严重级别、漏洞类型、位置（文件与行号）、修复建议以及 OWASP/CWE 参考链接。严重级别分为：CRITICAL（必须立即修复）、HIGH（应尽快修复）、MEDIUM（考虑修复）、LOW（最佳实践改进）。
实际示例 该技能提供了 SQL 注入检测、明文密码存储检测、API 密钥硬编码检测等示例，并给出具体修复方式，例如使用 bcrypt、scrypt 或 argon2 进行密码哈希，或使用环境变量存储密钥。
依赖扫描 该技能可对依赖运行安全审计命令，如 Node.js 使用 npm audit，Python 使用 pip-audit，结果按严重程度标记。
与 @code-reviewer 子代理的关系 该技能负责快速漏洞模式检测；@code-reviewer 子代理负责深度安全审计与威胁建模。当检测到漏洞模式并标记后，用户可调用 @code-reviewer 子代理获取全面安全审计。
常见漏洞模式 涵盖认证（弱密码策略、缺少 MFA、会话固定、不安全密码存储）、授权（缺少访问控制、权限提升、IDOR）、数据保护（未加密敏感数据、弱加密算法、缺少 HTTPS、不安全 Cookie）、输入验证（SQL 注入、命令注入、XSS、路径遍历）。
沙箱兼容性 该技能可在无沙箱和有沙箱环境下工作。如需依赖扫描，可配置网络 allowedDomains，例如 registry.npmjs.org、pypi.org、api.github.com。
与其他工具集成 可与 secret-scanner Skill 配合使用：security-auditor 检查代码模式，secret-scanner 检查暴露的密钥，两者结合提供全面安全覆盖。也可与 /review 命令配合，例如 /review --scope staged --checks security，形成自动安全发现、子代理深度审计和综合安全报告的工作流。
自定义 可通过复制技能目录并编辑 SKILL.md 来添加公司特定的安全模式，例如内部 API 模式、公司安全策略和自定义漏洞检查。
了解更多 资料提及 OWASP Top 10、CWE Top 25 和安全最佳实践，但未提供具体链接内容。
限制 该技能侧重于快速模式检测，不替代深度安全审计。资料未说明其支持的全部编程语言、具体安装步骤或价格信息。