用途：对 Flutter 应用进行安全审计与加固，适用于安全审查、密钥检测、令牌存储审计、权限审查等场景。
主要能力：覆盖 OWASP Mobile Top 10、密钥检测、安全存储、网络安全、二进制保护与隐私控制。工作流依次为：运行密钥检测扫描（第一阶段，最高严重级别，须先清理干净）、审计令牌与数据存储、审查网络安全配置、检查权限（AndroidManifest 与 Info.plist）、验证认证与授权流程、审查二进制保护设置，最后将发现按严重级别写入 docs/quality/security_review.md。
必要用法：第一阶段在 lib/ 中检测硬编码密钥，示例命令包括 grep -rn "AIza" lib/、grep -rn "sk-" lib/、grep -rn "sk-ant-" lib/、grep -rn "AAAA" lib/、grep -rn "private_key" lib/、grep -rn "password\s*=" lib/、grep -rn "Bearer\s" lib/、grep -rn "AKIA" lib/，并检查 assets/、android/、ios/ 中误提交的 JSON 凭据。发布构建启用混淆：flutter build appbundle --obfuscate --split-debug-info=.。
检查清单涵盖：密钥管理（使用 const String.fromEnvironment('KEY') 配合 --dart-define-from-file，.env 等加入 .gitignore）；令牌存储（使用 flutter_secure_storage，退出时 secureStorage.deleteAll()）；网络安全（HTTPS、证书固定、不返回 true 的 badCertificateCallback、捕获 DioException）；Android（debuggable=false、network_security_config.xml、权限 maxSdkVersion）；iOS（ATS 启用、NSUserDefaults 不存敏感数据、权限说明真实）；认证授权（后端强制授权、401 刷新令牌、深链与 WebView 校验）；数据处理（不记录 PII、剪贴板与截屏控制）；二进制保护（混淆、root/越狱检测）。
强制行为：允许密钥写入源码前必须警告；凭据存储必须推荐 flutter_secure_storage；禁止生成将认证令牌存入 SharedPreferences 的代码；禁止在查询字符串中传递凭据；敏感授权逻辑必须推荐后端强制。
输出物：docs/quality/security_review.md，按 blocker / high / medium / low 分类。关联：Agent mobile-security-reviewer，密钥检测钩子 hooks/lib-node/secret_detect.cjs（每次写入自动运行）。
限制：资料未提供具体收费、价格、平台支持范围或效果保证等信息。