用途：security-review 是一个代码安全审查技能，依据 OWASP Top 10 检测漏洞。资料建议在处理用户输入、认证或授权逻辑、API 端点、支付或金融逻辑、敏感数据（PII、凭据、令牌）、外部 API 集成、文件上传下载功能时，以及部署到生产环境之前主动启用。
主要能力：提供一份安全审查清单，覆盖九类检查项。一是密钥管理，要求密钥从环境变量或密钥管理器加载，禁止硬编码，.env 需列入 .gitignore，日志与错误信息不得泄露密钥，开发/预发/生产使用不同密钥。二是输入验证，要求在系统边界校验所有用户输入，做类型检查、长度与范围限制，采用允许列表而非拒绝列表，文件上传需校验类型、大小与名称。三是 SQL 注入防护，要求仅使用参数化查询，ORM 不裸用无参数原始 SQL，数据库用户遵循最小权限，禁止用用户输入拼接动态表名或列名。四是认证与授权，要求密码用 bcrypt/argon2 哈希，会话令牌加密随机且至少 128 位，JWT 校验签名、过期、签发者与受众，每个受保护端点做基于角色的访问控制，重置令牌一次性且限时，失败多次后锁定账户。五是 XSS 防护，要求渲染前转义或净化用户内容，配置限制性 CSP，禁止对用户输入使用 eval/exec，URL 参数使用前净化。六是 CSRF 防护，要求所有改变状态的请求带 CSRF 令牌，SameSite 设为 Strict 或 Lax，API 端点校验 Origin 头。七是速率限制，要求认证端点与公开 API 限流，失败时渐进延迟或锁定，并向客户端返回限流头。八是敏感数据暴露，要求 PII 静态加密、强制 HTTPS 与 HSTS、API 响应不泄露内部字段、最小化数据收集、有保留与删除策略。九是依赖安全，要求无已知漏洞依赖、固定版本、提交锁文件、定期更新。
使用方式：资料未提供安装命令或调用方式，仅给出审查清单与报告格式。报告按严重程度分级：Critical 需立即修复、High 部署前修复、Medium 尽快修复，另附加固建议，并给出总体风险等级（Critical/High/Medium/Low）。
适用场景与限制：适用于代码审查与部署前检查。资料未说明支持的编程语言、平台、收费方式或自动化程度，这些信息暂未提供。