用途：对一个完整代码库执行“先审计、后确认、再修复”的安全闭环。首次运行只读并输出报告；修复阶段必须在客户看到具体发现、文件范围、行为变化、测试与回滚方案并明确授权后才进行。
主要能力：盘点架构、依赖、入口、权限边界与代码实现；建立攻击面和数据流；审计依赖与已知漏洞（可结合漏洞情报，不可用时标为降级）；输出带稳定编号、严重度、file:line 或制品位置、影响与置信度的 Findings；对每条发现做对抗式复核；给出含 Finding 清单、拟改文件、行为变化、测试与回滚的修复批次预览。修复阶段逐条给出 fix/reject/defer，实施最小修复，做直接验证、正常路径、相关回归、重扫和独立复核。
使用方式：至少提供代码库路径，可选提供分支/提交、部署方式、技术栈、威胁重点、已批准的扫描器、测试命令、报告保存位置和修复窗口。安装：npx skills add soia-team/soia-open-safe-skills -g -a '*' -s soia-safe-audit-fix-codebase -y。强依赖 soia-dev-fix-loop 与 soia-dev-coding-protocol（来自 soia-team/soia-open-dev-coding-skills），缺失则修复阶段停止。盘点命令：python3 scripts/inventory_codebase.py <repo-path>。
限制：确认门不可跨越，即使客户要求“审计并修复”也须先完成阶段 A 并停在确认处；代码、分支、commit、工作树或范围变化会使原确认失效。提交、push、PR、部署与发布不在修复授权内，需另行授权。测试环境不完整时结论只能标为部分验证或 blocked。审计默认全程本地，不上传源码与制品；日志和报告须脱敏，不保存 Token、私钥、连接串或真实数据。具体配置、费用与效果资料未提供。