用途：对代码仓库执行全面的、与框架无关的安全审计。先自动检测项目类型（如 pubspec.yaml、package.json、go.mod、Cargo.toml、pyproject.toml、build.gradle、pom.xml、Package.swift、Podfile、.sln/.csproj 等，多个清单时按优先级只审计首个匹配，monorepo 建议在子目录运行），再据此适配检查项。
主要能力：敏感文件分析（检查 .gitignore 覆盖与暴露的配置文件）；源码密钥扫描（硬编码凭据、API 密钥、令牌及危险模式）；可选 Gitleaks 扫描工作区与 git 历史中的密钥；依赖漏洞审计（npm audit、pip audit、pub outdated 等包管理器原生扫描）；依赖陈旧与弃用分析；可选 Trivy 文件系统扫描；SAST 式 OWASP 模式检查（SQL 注入、XSS、路径穿越、eval 注入等，报告为低/中危）；可选 Gemini CLI AI 分析；最终生成含量化评分的报告。
使用方式：按内置规则顺序执行 references 下的分步指令，依次完成工具检测、文件分析、密钥扫描、Gitleaks、依赖审计、依赖年龄、Trivy、SAST、Gemini 分析、报告生成与格式校验，最终导出到 ./reports/security_audit.txt（纯文本，无 markdown 语法）。示例命令：mkdir -p reports。评分按 5 个加权小节（敏感文件防护 25%、密钥检测 30%、依赖安全 20%、供应链完整性 10%、安全自动化与 CI/CD 15%）计算总分，映射为 Strong/Fair/Weak/Critical。
限制：Gitleaks、Trivy、Gemini CLI 未安装时对应步骤优雅跳过并给出安装建议；缺少证据时写“Not found”，不臆测；不推荐 CODEOWNERS、SECURITY.md 等治理类文件或运维文档；必选步骤失败即停止。具体规则细节和安装命令详见官方资料。