security-review 用于对代码进行安全审查，识别可被利用的漏洞，并在报告前先研究整个代码库以确认输入来源、校验、配置和框架防护。
主要能力：只报告高置信度发现，要求漏洞模式与攻击者可控输入同时成立；对无法确认输入来源的问题标注为需验证，不报告理论性或纵深防御类问题。覆盖注入、XSS、授权、认证、加密、反序列化、文件安全、SSRF、CSRF、数据保护、API 安全、业务逻辑、配置错误、错误处理、供应链和日志等类别，并提供 Python、JavaScript、Go、Rust、Java 语言指南及 Docker、Kubernetes、Terraform、CI/CD、云配置的基础设施指南。
使用方式：先判断代码类型并加载对应参考文件，再根据扩展名或导入加载语言指南，必要时加载基础设施指南；随后在代码库中追踪数据流，确认输入是否受攻击者控制、是否有校验或框架防护，只报告确认可利用的问题，并区分高、中、低置信度。
适用场景：需要审查单个文件、差异或指定代码，并希望获得聚焦、可操作的安全发现时。
限制：不报告测试文件、死代码、注释、使用常量或服务器端配置的模式，以及需要先通过认证才能到达的路径（改为注明认证要求）。框架自动转义和参数化查询等通常安全模式需先核查，仅在其被显式绕过时才报告。资料未提供具体安装命令、收费信息或运行平台。