用途：对前端代码库执行安全审计，识别漏洞、不良实践与缺失的防护措施。
主要能力：使用 grep 等命令扫描危险模式，包括 React 的 dangerouslySetInnerHTML、innerHTML/outerHTML/document.write、location.href/location.replace/window.open、eval/new Function、setTimeout/setInterval 字符串执行、Twig 的 |raw 与 autoescape false；检查缺失的 CSRF 令牌与状态变更请求；排查 localStorage/sessionStorage 中的敏感数据与硬编码密钥；审查 CSP、CSRF 令牌与输入校验；检查 npm/node 依赖漏洞。
使用方式：按审计流程执行——扫描危险模式、审查框架特定风险、验证防御措施、检查依赖、报告发现。发现 XSS 时可参考 references/xss-prevention.md，CSRF 参考 references/csrf-protection.md，DOM 问题参考 references/dom-security.md，CSP 参考 references/csp-configuration.md，输入处理参考 references/input-validation.md，Node.js/NPM 审计参考 references/nodejs-npm-security.md，框架模式参考 references/framework-patterns.md，文件上传参考 references/file-upload-security.md，JWT 参考 references/jwt-security.md。
报告格式：按 CRITICAL（可利用 XSS、认证绕过、密钥泄露）、HIGH（缺少 CSRF 防护、不安全 DOM 操作、SQL 注入向量）、MEDIUM（弱 CSP、缺少安全头、输入校验不当）、LOW（信息泄露、废弃函数、次优实践）分类，每条含位置（file:line）、模式、风险、修复建议与 OWASP 参考链接。
示例命令：grep -rn "dangerouslySetInnerHTML" --include=".jsx" --include=".tsx" --include=".js"；grep -rn ".innerHTML\s=" --include=".js" --include=".ts"；grep -rn "eval\s*(" --include=".js" --include=".ts"。
适用场景：安全审查、代码审计、XSS/CSRF/DOM 漏洞排查。限制：技能页面未提供具体安装命令、支持框架的完整清单、版本与收费信息，暂未提供。