用途：该技能通过 Codex exec 执行安全审查，适用于 OWASP Top 10:2025 审计、依赖漏洞检查以及安全敏感代码变更。触发关键词包括 security review、OWASP、vulnerability、dep-audit、npm audit、dependency security。不适用场景：通用代码审查（改用 codex-code-review）、功能测试（改用 test-review）、与安全无关的性能问题。
主要能力与命令：/codex-security 用于 OWASP Top 10 审计，适合安全敏感代码；/dep-audit 用于依赖安全审计，适合周期性检查或 PR。工作流为：确定范围 → 收集变更 → Codex OWASP 审查 → 输出发现与门禁 → 若必须修复则循环。
使用方式：/codex-security 默认范围 src/，可用 --scope 指定。第二步收集元数据而非内容，首轮派发携带变更文件列表与 diff 统计：CHANGED_FILES 由 git diff --name-only HEAD -- <scope> 与 git ls-files --others --exclude-standard -- <scope> 合并得到；DIFF_STAT 由 git diff --stat HEAD -- <scope> 得到；SCOPE 为解析后的范围参数，并可通过 Glob("**/{auth,login,password,token,secret,key,credential}") 标出安全相关路径作为查看位置。第三步按 codex-transport.md 启动 OWASP 提示进行首轮审查，保存返回的 threadId；循环审查时用再审查模板恢复线程。第四步整理为发现汇总表、详细发现与门禁。示例：/codex-security --scope src/controller/ 执行 OWASP Top 10 检查并输出问题与门禁；/dep-audit --level high 执行 npm audit、过滤 high/critical 并输出报告。
审查覆盖 OWASP Top 10:2025 的 A01 至 A10，涵盖访问控制、配置错误、供应链、加密、注入、不安全设计、认证、完整性、日志告警与异常条件；标识中的版本有意义，2021 编号含义与 2025 不同。修复循环最多 3 轮，仍失败则报告阻塞。验证要求包括严重级标注 P0/P1/P2、明确门禁、具体可执行的修复建议、验证测试方法，以及 Codex 独立研究认证/输入/敏感代码。
限制：不负责通用代码审查、功能测试与性能问题；资料未提供收费、价格、平台支持范围及完整安装步骤。