Security Review 是一个安全审查类技能，用于对获得授权的应用代码、配置、设计和制品进行系统性检查。其定位是提供审查方法，而不是替代修复或渗透测试。
用途与范围 该技能面向授权范围内的安全审查，关注授权（authorization）、数据暴露、注入、密钥、依赖以及 LLM/工具等具体问题。它要求先加载审查方法；当依赖或安全公告类判断需要当前证据时，转向 Research 获取最新依据。
审查与修复的边界 审查本身不带来修复权限，也不带来实时利用（live-exploitation）权限。修复必须复用既有的修复与测试授权。若需要补救，应遵循已有授权流程，且修复方案应是满足要求的最小控制措施。
核心追踪方法 其核心链路为：敏感资产 + 调用方/输入 + 所需权限 → 实际执行控制方 → 操作/数据。该方法强调，界面可见性或者调用方自己的检查，并不能证明服务端授权已经成立。审查范围上，聚焦型变更应检查受影响路径与相邻调用方；宽泛审查则先确定实际入口点与资产，再检查相关表面，并标记缺失的重要证据。
需解析的安全表面 资料列出了六类表面及其解析重点：
- 身份/会话：调用方可选择的身份、角色或租户；登录、恢复、过期与撤销边界。
- 数据/权限：针对对象、字段、列表/导出与变更的参与者与租户强制；替代入口点。
- 输入/文件：查询、标记、URL、路径、上传/归档，及其规范化与下游解析器、抓取、存储或执行。
- 密钥/制品：源码、日志、客户端包、生成的配置与打包产物的暴露；检查实际范围内的制品。仅内网地址本身不等于密钥。
- LLM/工具：不可信内容影响特权操作；权限与经过校验的参数位于模型之外；在操作边界需要审批。
- 依赖：已解析的锁定文件/镜像/SBOM/运行时版本 + 现有扫描 + 原始公告范围；追踪生产/构建/开发/传递使用；清单范围不等于已解析版本。已确认存在漏洞的版本不等于已证明可利用；未知可达性不免除必需的门禁。
发现与证据要求 一项发现应包含：入口点 + 参与者/输入前置条件 + 已执行或缺失的控制 + 受影响资产 + 现实影响。应通过源码与允许的探测来测试竞争性解释；未经证明的利用路径应保持未知状态。密钥证据应记录类型、位置与暴露路径，并对取值进行遮蔽。发现、可选加固与未解决问题需要保持区分。
修复与验证 经授权的修复应是满足要求的最小控制；需要验证原有未授权路径确实被拒绝，且合法访问在实际权限/输入边界处仍然保留，并运行适用的门禁。最终结果应包含已评估表面、发现与缺口。扫描器成功只能证明其检查范围内的内容；不构成对整个应用的认证，也不意味着运行时已被证明。
使用方式与限制 该技能以审查方法文档及相关引用文件为核心，配合 Research 获取当前依赖/公告证据。资料未提供具体安装命令、价格、平台支持列表或可量化的效果数据，这些信息暂未提供。适用场景为在授权前提下对应用代码、配置、设计或制品进行安全审查，尤其是涉及授权边界、数据处理、输入处理、密钥管理、依赖与 LLM/工具调用等风险面；不适用于未授权测试或替代既有修复职责。