用途：该技能用于识别安全漏洞，遵循 OWASP Top 10 与安全最佳实践，在收到安全审计请求、提到“security”或“vulnerability”、需要安全审查或询问 OWASP 时激活。
主要能力：以当前 OWASP Top 10 作为认知分类，而非完整安全覆盖的证明；可验证的应用控制项建议映射到 OWASP ASVS 或项目要求标准。覆盖 A01 访问控制失效（认证、对象/功能级授权、租户边界、IDOR/BOLA、角色变更、服务端 URL 抓取控制，SSRF 含在此类需校验目标、协议、重定向与网络出口）、A02 安全配置错误（调试标志、CORS、安全头、默认账户、云/IaC 策略、错误暴露）、A03 软件供应链失效（锁定文件、来源、构建流程、可变 CI 依赖、更新策略与依赖风险，区分易受攻击包与构建分发基础设施被攻陷）、A04 加密失效（密钥存储、传输加密、密钥生命周期、随机数、算法与静态数据要求）、A05 注入（追踪不可信数据进入 SQL/NoSQL、shell、模板、LDAP、表达式与浏览器执行点）、A06 不安全设计（威胁建模信任边界、滥用场景、限流、高风险流程与故障恢复）、A07 认证失效（凭据处理、MFA、重置恢复、会话轮换、过期与暴力破解防护）、A08 软件或数据完整性失效（签名、可信更新通道、反序列化边界、制品完整性）、A09 日志与告警失效、A10 异常条件处理不当。
使用方式：审计脚本运行 python3 scripts/security_audit.py --name <service-name> --output security-audit.md；检查密钥运行 python3 scripts/find_secrets.py .。参考文档包括 references/owasp.md、references/checklist.md、references/remediation.md。审计清单涵盖代码审查（无硬编码密钥、输入验证、输出编码、参数化查询、错误处理、认证与授权、公开 API 限流）、配置（关闭调试、强制 HTTPS、正确 CORS、安全头、环境变量存密钥、数据库不暴露）与依赖（无已知漏洞、保持更新、移除未使用项）。
限制：资料未提供安装命令、计费、支持平台与效果验证信息。