用途：在 Web 应用上线前、实现重大功能后、定期复查（建议每季度）、发现某处漏洞后或接手新代码库时，对 PHP/JavaScript/HTML 代码做系统性安全审计，产出审计报告、修复计划或定向审查结论。
主要能力：按 8 个层次扫描——配置（php.ini/.env/.htaccess、错误显示、硬编码密钥）、认证与会话（session 严格模式、登录后 regenerate_id、Argon2id 哈希）、授权（IDOR、RBAC、路由守卫）、输入校验（SQL 注入、文件上传、unserialize/eval/exec 等 PHP 陷阱）、输出编码与 XSS、API 安全（CSRF、限流、错误泄露、CORS、webhook 签名）、HTTP 安全头、依赖与供应链（composer audit、npm audit、SRI）。另设网络层审计视角（主机防火墙、SSH 暴露、管理端口、出网白名单）。发现按 CRITICAL/HIGH/MEDIUM/LOW/INFO 分级，每项含位置、影响、修复与参考。
使用方式：先读 SKILL.md，仅按需加载 references/（audit-checklist-detailed.md、security-headers-reference.md、report-template.md 等），避免默认全量加载。执行分三步：先用探索子代理绘制入口点、配置文件、认证代码、查询模式、输出点与 API 的地图；再分批并行扫描（批次一：配置、HTTP 头、依赖；批次二：认证会话、授权；批次三：输入校验、输出 XSS、API）；最后按模板生成 docs/security-audit/YYYY-MM-DD-audit.md 并按严重度排序。修复时先处理 CRITICAL，再 HIGH、MEDIUM、LOW，逐项展示位置、解释风险、应用修复、验证，并复跑受影响层次、更新报告状态。
限制与边界：范围仅限 Web 应用代码，Android 与数据库安全需用专门技能。需先确认期望交付物（报告/修复计划/定向审查），并提供项目背景、约束与具体问题。应避免只扫一层就宣布安全、扫描未完成即开始修复、把一切标为 CRITICAL、忽略 INFO、只看新代码、跳过依赖审计。除资料明示外，不保证覆盖所有漏洞，也不提供具体收费或平台信息。