用途：对 PR、提交和 diff 做以安全为重点的差分代码审查，重点覆盖认证、加密、价值转移、外部调用、校验逻辑等风险面。
主要能力：按代码库规模选择策略——SMALL（<20 文件）深度、MEDIUM（20-200）聚焦、LARGE（200+）外科式；按风险分级，HIGH 包含认证、加密、外部调用、价值转移、移除校验，MEDIUM 为业务逻辑、状态变更、新公开 API，LOW 为注释、测试、UI、日志。审查阶段包括预分析、Phase 0 分诊、代码分析、测试覆盖、爆炸半径、深度上下文、对抗性分析（Phase 5，含攻击者建模与可利用性评级）、报告生成。要求用 git blame 与提交记录作为证据，给出具体行号和攻击场景，并明确说明覆盖范围与置信度，最终必须生成 Markdown 报告文件。
使用方式：先做分诊与风险分级，再按 Decision Tree 阅读方法论文档——methodology.md（Phase 0-4）、adversarial.md（Phase 5）、reporting.md（Phase 6）、patterns.md（常见漏洞模式）。可与 audit-context-building 技能配合建立基线上下文，用 issue-writer 将发现转为正式审计报告，示例命令：issue-writer --input DIFFERENTIAL_REVIEW_REPORT.md --format audit-report。
适用场景：适合对已有代码库的增量变更做安全审查。不适用绿地代码（无基线可比）、纯文档、格式化或 lint 类改动，以及用户明确只要快速摘要并接受风险的情形，这些应改用普通代码审查。红旗信号包括：安全/CVE/fix 提交中被删除的代码、被移除的访问控制修饰符、无替代的校验移除、无检查的新增外部调用、高爆炸半径（50+ 调用者）叠加高风险变更。
限制：资料中未提供具体运行命令、依赖安装方式、收费与平台信息；分析耗时仅为示例性描述，非承诺。