用途：在代码安全审查时使用，覆盖 PR 安全审查、SAST 工具扫描、手动代码审计、新依赖引入评估与敏感操作审查。核心原则是自动化与手动结合，工具找已知模式，人找业务逻辑漏洞；强调外部输入不可信、写操作校验权限、日志与响应中不泄露密钥或 PII。
主要能力：提供多语言 SAST 工具参考，包括 Semgrep、SonarQube、CodeQL、Snyk Code、Bandit、ESLint Security、SpotBugs、gosec；给出每次 PR 使用的审查清单，涵盖输入校验（类型/长度/格式、SQL 参数化、HTML 转义、防路径穿越、SSRF、ReDoS）、认证鉴权（写操作认证、资源归属、角色权限、不暴露存在性）、敏感数据（不记录密钥/Token/PII、响应不返回内部信息、密码用 bcrypt/argon2、敏感配置用环境变量）、依赖（评估 Stars/维护/安全历史、版本锁定、无已知高危漏洞）。
使用方式：结合 PR 审查与 SAST 扫描，按清单逐项检查；配套模板 templates/security-review-checklist.md 作为 PR 安全审查清单；质量自检要求 SAST 集成 CI、手动审查关键路径、输入校验完整、权限检查完整、敏感数据不泄露、依赖安全、发现问题有修复建议。
适用场景：PR 审查、SAST 扫描、手动代码审计、新依赖评估、敏感操作审查；与 threat-modeling（上游定位重点审查区域）、security-report（下游纳入报告）、backend-engineer（修复）协作。
限制：具体安装命令、配置参数与规则示例暂未提供；工具能力与效果需以官方资料为准。