用途：对代码库进行安全漏洞排查，覆盖 OWASP Top 10、密钥暴露、供应链风险及语言特定漏洞模式，最终生成带评分的 SECURITY_AUDIT.md 并给出按优先级排序的修复建议。核心原则是调查而非仅做关键词匹配：需阅读上下文代码，判断命中项是真实漏洞、误报还是已被缓解，只有具备具体 file:line 证据且风险确认的才记录。
主要能力与流程：先做前置检查，确认处于 git 仓库（git --version 与 git rev-parse --is-inside-work-tree），并检测 gitleaks、semgrep、trivy、govulncheck 等工具是否可用，缺失工具不影响手工调查但需在报告中注明。随后确定范围与技术栈（go.mod、package.json、pyproject.toml、Cargo.toml、*.csproj），识别认证、授权、数据库、API、加密、文件处理等敏感区域，并阅读 CLAUDE.md、README.md、CONTEXT.md 获取架构背景。接着运行可用工具扫描，例如 gitleaks detect -v、semgrep --config=auto --severity=ERROR .、trivy fs --severity HIGH,CRITICAL .，或 govulncheck ./...、npm audit、pip-audit、cargo audit；扫描结果需逐条核实。之后按 OWASP 类别逐项调查，检查密钥与供应链（含 git 历史中已删除但仍泄露的密钥，标记为 CRITICAL），用 STRIDE 建模并以 DREAD 评分，再做语言特定审查。
评分与输出：每条发现标注严重级别（CRITICAL/HIGH/MEDIUM/LOW）、修复工作量（S/M/L）与证据，最后按模板生成报告并运行 markdownlint，向用户展示各级别数量、最关键的 3 项、工具可用情况与修复优先级，并询问先处理哪些问题。
限制：部分 OWASP 类别并非对所有项目适用（如 CLI 工具无需 XSS 检查、库无需 CSRF 防护）；自动化扫描器存在误报，必须人工核实；未提供工具时仍可手工调查。具体参考文件（references/owasp-patterns.md 等）内容与报告模板细节暂未提供。