Security Audit 是一个系统化的安全审查技能，用于对应用代码、依赖项和配置进行安全审计。
用途 该技能用于在代码审查范围内识别常见漏洞，覆盖代码、依赖、配置、架构和 API 等多个层面。它明确说明自身不能替代专业渗透测试，仅能发现代码审查范围内的常见漏洞。
审计类型 技能提供五种审计类型，并说明各自的关注点与适用时机：
- 代码审查：关注 OWASP Top 10、注入、认证，适用于新功能、PR、可疑代码。
- 依赖审计：关注 CVE、过期包，适用于部署前、周期性检查、CI/CD。
- 配置审计：关注密钥、权限、加固，适用于基础设施变更、新环境。
- 架构审计：关注攻击面、数据流，适用于设计阶段、重大重构。
- API 安全：关注认证、授权、限流，适用于新端点、公开 API。
不适用场景 技能列出了不应使用它的场景：设计新的认证流程应使用 api-design；性能问题应使用 observability；CI/CD 流水线安全应使用 ci-cd。
关键原则
- 范围优先：在扫描前定义审计区域、深度和约束。
- 严重程度分类：Critical（24-48 小时）、High（1 周）、Medium（2-4 周）、Low（待办）。
- 修复或跟踪：立即修复严重问题，其余创建 ohno 任务。
- 代码中无密钥：扫描硬编码凭据、API 密钥、连接字符串。
快速开始清单
- 定义审计范围和类型（代码、依赖、配置、架构、API）。
- 运行自动化扫描（npm audit、grep 模式、密钥检测）。
- 审查发现并使用参考中的决策树分类严重程度。
- 立即修复严重/高严重程度发现。
- 为中/低严重程度发现创建具有适当优先级的 ohno 任务。
- 在审计报告中记录发现。
参考文档 技能包含以下参考文件：owasp-top-10.md（OWASP 漏洞及检测与修复）、dependency-security.md（npm audit、pip-audit、Snyk、CI/CD 集成）、auth-patterns.md（安全认证与授权模式）、api-security.md（API 特定安全问题）、secrets-management.md（处理敏感配置）。
运行时说明
- Claude Code：通过 Task 工具派发 yokay-security-scanner，subagent_type 为 "pokayokay:yokay-security-scanner"。
- Codex：没有子代理派发机制，需内联执行该代理角色——读取对应的 agents/yokay-<name>.md，并直接在当前会话中遵循其 Behavioral Defaults、Critical Rules 和 Output Contract。
限制 该技能不是专业渗透测试的替代品，仅识别代码审查范围内的常见漏洞。其他具体功能、收费、价格、平台、效果或使用步骤在提供的资料中暂未提供。