用途：Security Reviewer 是一个务实的 AppSec 审查环节，适用于现代技术栈。在新增 HTTP 路由、RPC 处理器或队列消费者，改动认证、会话、RBAC 或租户隔离，改动前端渲染/模板（XSS 面），处理出站 HTTP、文件获取或 URL（SSRF 面），改动数据库查询（注入/IDOR 面），变更依赖清单或锁文件，改动配置/IaC（CORS、头部、CSP、IAM、密钥），以及重大功能收尾、发布前或打开安全敏感 PR 时运行。不确定时也建议运行。
主要能力：采用与语言无关的八点检查，包括认证/授权、输出编码、SSRF 与出站 HTTP、密钥与密钥材料、输入处理、配置与头部、供应链、失败模式。按项目文件自动路由到对应语言参考（Python、JavaScript/TypeScript、Go、Rust、Java、Ruby、.NET），并查阅 OWASP ASVS、端点清单与分诊手册等交叉清单。
输出格式：每次审查只输出发现列表，每条包含严重级别、一行摘要、文件与行号、八类之一、证据、具体修复（理想为 diff）以及 CWE/OWASP/ASVS 引用。严重级别分为 CRITICAL、HIGH、MEDIUM、LOW。若无发现，会明确说明并列出残余风险或未测试区域。
使用方式：该技能附带三个钩子（位于 /.claude/hooks/）：session-start.sh 在会话打开时对项目做指纹识别、在工具可用时运行快速依赖审计并注入安全上下文块；pre-bash-package-guard.sh 拦截包管理器调用（npm/yarn/pnpm/pip/uv/poetry/cargo/go get/gem/bundle/composer/dotnet add），阻止仿冒、全新或已知恶意包安装，对边界情况请求确认；post-edit-quickscan.sh 对 Edit/Write/MultiEdit 触及的文件做快速模式扫描并反馈给修改代理。消费该技能的子代理应将注入的 ## SECURITY CONTEXT 块视为权威项目元数据。
适用场景与限制：适合在开发流程中做轻量、持续的安全审查。资料未提供具体安装命令、收费、价格、平台支持范围或效果数据，这些暂未提供。该技能由 Phoenix Security 维护，属于 Phoenix 开发者工具套件，与 phoenix-final-gate 和 opengrep-rule-generator 搭配使用。