用途：针对处理认证、授权、用户输入、API、数据库或凭据的代码做专项安全审查。资料称其核心原则是安全问题需要超出一般代码审查的专门关注，并在变更触及安全敏感路径时强制触发，开始时需声明“I'm performing a security review of this code.”。
触发条件：修改匹配 /auth/、/security/、/middleware/、/api/、/password、/token、/secret、/credential、/session、/routes/、/*.sql 等模式的文件时强制使用。可用 git diff --name-only HEAD~1 | grep -E '(auth|security|middleware|api|password|token|secret|credential|session|routes|.sql)' 检查。
主要能力：按 OWASP Top 10 逐项核对，包括注入、身份认证失效、敏感数据暴露、XML 外部实体、访问控制失效、安全配置错误、XSS、不安全反序列化、使用含已知漏洞的组件、日志与监控不足。还包含依赖审计（如 pnpm audit --prod、pnpm outdated、pip-audit）、按严重级别记录发现（CRITICAL/HIGH/MEDIUM/LOW）、在审查产物中添加 Security Review 章节，以及生成独立安全审查产物。
使用方式与流程：识别安全敏感变更、逐文件完整阅读并按 10 类检查、运行依赖审计、记录发现、添加安全章节。完成前需核对：所有敏感文件已审查、10 类均已检查、已跑依赖审计、CRITICAL/HIGH 已修复、延迟项有跟踪 issue、已添加安全章节、主产物中 Security-Sensitive 标记为 YES。
适用场景与集成：用于安全敏感变更的 PR 前置审查，与 comprehensive-review（安全为第 4 项标准）、review-gate 集成，并由 .claude/rules/security-sensitive.html 条件规则和 PreToolUse hook 强制执行。限制：资料未提供安装命令、价格、平台支持及具体实现细节，暂未提供。