用途：当用户询问“我的站点安全吗”“运行安全审计”“检查漏洞”“站点是否被入侵”“修复有漏洞的插件”等问题时，使用该技能对 WordPress 站点做安全审查。它从 WordPress 自身可验证的证据出发，而不是仅看是否装了安全插件。
主要能力：审计核心文件校验和、管理员及其应用密码、插件、主题、must-use 插件、cron 钩子、指标与覆盖范围；将已安装的核心、插件、主题版本与 Wordfence 漏洞数据库比对（插件 9.0 及以上）；在机主同意下探测 uploads 目录是否会执行 PHP；在审批后执行插件、主题和核心安全更新，并在明确同意下清理凭据；修复后再跑一次审计，说明哪些已清除、哪些仍存在。
使用方式：先 respira_get_site_context 确认站点和插件版本，再 respira_run_security_audit 并设 deep_scan: true。先保持 probe_uploads_execution 关闭，第三阶段再询问是否开启。逐块阅读并报告 indicators、coverage、checks、warnings。修复按严重程度排序，涉及 respira_update_plugin、respira_update_theme、respira_update_core_security、respira_revoke_application_password，均为审批门控，首次调用返回 approval_token，带该令牌重复调用才完成。
限制：看不到服务器、日志、cron 与备份；不能证明站点从未被入侵；无法修补作者未发布修复的插件。覆盖不完整、检查未运行、漏洞库不可达都必须如实报告为 partial、not_run、unavailable，绝不能称为 clean 或 secure。更新不覆盖 Respira 页面快照，需先确认机主有可恢复的备份。核心更新无自动回滚。应用密码只在机主指名并同意时撤销，绝不因看起来老旧或未使用而撤销。