用途：在用户提供本地路径、压缩包、GitHub 仓库、预发布 URL 或自有运行时，并希望进行防御性网站安全审计、漏洞清单复核、评分卡、修复计划、静态/动态审查、主动验证或生成 Excel/HTML/Markdown/PDF 报告时使用。禁止用于未授权目标、漏洞利用开发、凭证窃取、隐蔽渗透、恶意软件、第三方公共目标扫描或绕过说明。
必要参考：需阅读 security-audit-method.md、report-contract.md、review-modes.md、vulnerability-ontology.csv、scanner-registry.md。
流程：先确认模式、范围、授权、环境、强度、禁止操作、测试账号、速率限制、回滚/重置方案及是否允许在线目标；无主动测试授权时使用静态模式。准备隔离工作目录：python3 scripts/security_audit_report.py prepare-env --source "<path-or-url>" --workdir "<fresh-temp-workdir>" --project "<name>" --mode "<mode>"。本地与 GitHub 目标必须复制或克隆到新临时目录，不得安装、构建、迁移、写报告或改动原始源码树。动态安全、动态主动、混合或在线授权模式下，仅使用临时密钥、测试数据库、合成账号/数据、环回或隔离容器、授权后的 OOB 端点及停止条件；破坏性文件操作、数据库写入、暴力破解、资源压力与盲 SSRF/OOB 测试默认限于隔离临时部署。用 rg --files 盘点清单、路由/API、认证/会话、数据模型、配置、Docker/IaC、CI/CD 与 AI/LLM 集成，记录不可读、生成、厂商或排除路径。创建审查骨架：python3 scripts/security_audit_report.py init --project "<name>" --source "<fresh-temp-workdir>/target-source" --mode "<mode>" --intensity "<intensity>" --out "<fresh-temp-workdir>/security_review.json"。按攻击面分诊 V001-V275，不相关项标记 Not Applicable 并简短说明，仅深入审计适用或不确定项。只执行选定模式。渲染：python3 scripts/security_audit_report.py render --review "<workdir>/security_review.json" --out-dir "<workdir>/security-audit-report"。
输出：默认生成 安全审查评分表.xlsx、安全审查报告.html、安全审查报告.md、安全审查报告.pdf 与 security_review.sanitized.json，均写在被审计源码树之外；默认简体中文，Excel 使用中文标签与逐行解释，HTML 含中文默认、英文可切换的右侧语言切换与置顶导航，Markdown 同源中文内容，PDF 为中文优先浏览版。返回绝对路径、模式、风险域、P0/P1 发现、不明项、覆盖缺口、运行时假设与主动测试证据。证据须脱敏，不含明文密钥、Cookie、可复用令牌、个人数据转储或破坏性验证步骤。
限制：仅限已授权目标；无运行时门禁时相关检查标为 Unclear 或 Deferred，不得标为 Safe；收费、价格与平台支持信息暂未提供。