用途：在 API 上线前审查其设计中的安全漏洞。该技能为只读模式，只标记问题（给出 file:line），不修改代码。
主要能力：定位 API 表面（优先 OpenAPI/Swagger 文件，否则路由定义与处理器），逐端点检查并报告路径或 file:line、严重程度和修复建议。检查项包括：缺失认证、对象级授权失效（IDOR/BOLA）、功能级授权缺失（普通用户可访问管理操作）、无限流（认证、搜索或高开销端点易遭暴力破解/DoS）、错误信息过于详细（泄露堆栈、SQL、内部细节）、URL 中含敏感数据（令牌、密码、PII）、批量赋值（请求体无字段白名单绑定模型）、CORS 误配（通配符来源配合凭证）、缺失输入校验、无分页限制、示例中含真实密钥。
使用方式：无需前置条件，纯 Claude Code 运行，不需要 MCP。可通过“Security review my API / OpenAPI spec”“Check my endpoints for missing auth”“API security scan”等指令触发。输出按严重程度排序的报告，例如“2 high, 1 medium”及对应 HIGH/MEDIUM 条目。
限制：仅供诊断，不自动修复；是否支持持续集成等未在资料中说明。