用途：对用户拥有或获授权的代码与服务器做安全审计，覆盖代码静态分析（SAST）、依赖检查（SCA）和服务器配置审计，输出发现与修复建议，不做主动攻击性测试。
主要能力：检测SQL注入、XSS、SSRF等OWASP Top 10类别漏洞；识别过时或有漏洞的第三方库，并结合实时搜索确认最新CVE；检查SSH、防火墙、权限等服务器配置；扫描硬编码密钥与凭证（输出脱敏）。
使用方式：先确认授权与边界，再按环境检测、依赖检查、静态分析、敏感信息检测、配置审计、生成报告的流程执行。安装工具示例：pipx install bandit semgrep || pip install safety bandit semgrep pip-audit；npm install -g npm-audit-html retire。一键扫描：python3 /path/to/skill/scripts/full_scan.py /path/to/project；单项可用 scripts/dependency_check.py、scripts/secrets_scan.py。常用命令包括 bandit -r ./src -f json -o bandit_report.json、safety check --json、pip-audit --format json、npm audit --json、semgrep scan --config=auto --json、gitleaks detect --source . --report-format json --report-path gitleaks.json、trivy fs --format json --output trivy.json .。服务器侧检查SSH配置、UFW/iptables状态、SUID与world-writable文件。
限制：仅审计获授权目标；不维护固定CVE清单，版本漏洞结论须现场查询官方advisory；内置离线基线表会过时，命中需实时确认；工具缺失时降级为grep并声明覆盖范围缩窄；不给出“已确认安全”结论，只报告已执行检查范围内未发现并列出未覆盖项；泄露凭证只报位置与类型，不回显明文；修复以建议形式给出，除非用户明确要求不直接改业务代码。