用途：对指定代码做聚焦安全审计，目标是找出可复现、可利用的真实缺陷，而非理论担忧、最佳实践提醒或风格问题。审计过程中需仔细阅读后再报出结论。
输入与目标解析：审计目标由参数给出。为空或为 branch 时，审计当前分支相对主分支的 diff（使用 git merge-base 与 git diff 命令）；为 PR 编号或 URL 时，用 gh pr diff 与 gh pr view 获取变更与上下文；为文件或目录路径时直接读取审计；为自由描述（如“新的 webhook 处理器”）时用 grep/glob 定位文件再审计。目标不明确时应在报告开头说明所选解释并继续。
校准原则：只有在能把用户可控输入从具体来源追踪到具体危险操作且指出缺失控制时才报告。无法构造具体利用请求则不列为发现。不报告框架已提供保护（如类型化序列化字段、ORM 参数化、模板自动转义、参数化游标）的输入，除非该保护在此处被绕过。不把限流、WAF、监控或纵深防御作为发现。不报告死代码、被禁用特性开关后的代码或任何 HTTP 路由与任务不可达的代码。重质量而非数量，两个真实发现优于十二个推测。
审计优先级：一是访问控制，包括缺失权限或认证的端点、暴露的内部/管理/调试端点、生产可达的测试或种子端点、保留的旧版端点、默认允许的自定义权限类、按方法的授权缺口、横向越权与租户串用、批量与导出端点、状态码差异泄露存在性、权限提升、跨方法权限不对称、对错误资源做权限判断，以及批量赋值风险；序列化器中 Meta.fields 含外键但未显式声明时会生成无租户过滤的 PrimaryKeyRelatedField，属常见真实问题。二是注入，覆盖 SQL 值上下文与标识符上下文、命令注入、SSRF（注意出口代理是否为实际防线）、路径穿越、压缩包解压路径穿越、XXE、模板注入、XSS、CSV 公式注入、CRLF 与头注入、ReDoS、不安全反序列化。三是认证与密钥，覆盖硬编码凭据、默认加密密钥、JWT 校验、口令处理、令牌作用域与过期、OAuth/OIDC 流程缺陷、邮箱验证与密码重置令牌、MFA 绕过、会话生命周期、Webhook 签名校验。四是敏感数据暴露，包括日志与错误上报中泄露、秘密出现在 URL、令牌存储在可被 XSS 读取的位置、静态加密与加密误用。五是业务逻辑与状态，包括配额与唯一性检查的竞态、整数与符号问题、重放与幂等性、流程跳过、无界结果集与分页绕过、解压炸弹。
限制：资料未提供完整的规则文本结尾与官方页面全文，部分细则暂未提供；本技能不提供自动化修复或具体代码补丁。