用途：评估 API、配置与接口是否抗开发者误用，找出“顺手的做法反而不安全”的设计。适用评审 API/库设计、配置模式危险选项、密码学 API 易用性、认证授权接口，以及任何向开发者暴露安全相关选择的代码。不适用于实现缺陷、业务逻辑缺陷或性能优化。
核心理念是“成功的坑”：安全用法应是最省力的路径；若开发者必须读懂密码学、细读文档或记住特殊规则才能避免漏洞，该 API 就是失败的。文中还列出应拒绝的辩解（如“文档里写了”“高级用户需要灵活性”“这是开发者的责任”），并给出对应做法：把安全选项设为默认或唯一选项、提供安全的高层 API、移除或杜绝误用可能。
主要能力（六类“锋利边缘”）：算法/模式选择坑（如 JWT 的 alg 允许 none、RSA→HMAC 算法混淆）；危险默认值（超时/有效期取 0、空串绕过、null 跳过校验）；原始类型与语义类型之分（字节参数可互换、恒定时间比较与普通比较外观相同）；配置悬崖（一个开关即关闭安全、拼写错误被静默当真的值、危险组合被接受）；静默失败（返回布尔而不抛错、空 catch、校验失败却“成功”）；字符串化安全（拼接 SQL、逗号分隔权限导致权限提升）。
分析流程分四阶段：识别安全相关 API 与开发者选择点及配置模式；探测零/空/null、负值、类型混淆、默认值与错误路径等边界；对三类对手建模——恶意配置者、复制粘贴的懒惰开发者、误用 API 的困惑开发者；验证发现，含复现误用、确认可利用性、检查文档、测试缓解措施。严重度分为严重（默认或常见用法不安全）、高、中、低。
限制：仅在任务与上述范围明确匹配时使用；输出不能替代针对具体环境的验证、测试或专家评审；缺少必要输入、权限、安全边界或成功标准时应停下并请求澄清。文档提到的参考文件（如 crypto-apis.md、config-patterns.md、auth-patterns.md、case-studies.md 及各语言指南）为技能相对路径下随附文件；具体内容与安装方式暂未提供。