Source Code Security Audit ACTION REQUIRED（读完后立刻执行） 1. : 读取 或代码审计授权 2. : 确认有 源码/仓库访问 （无源码二进制 → 转 RE skill） 3. : 明确语言栈与范围（目录/服务/PR diff） 4. : tool-index；semgrep 等 5. : 威胁建模草图 → 自动扫描 → 人工验证 适用场景 - 白盒审计、PR/差分安全审查 - Semgrep / CodeQL / Bandit / gosec 等 SAST - 危险 API、注入点、鉴权缺失、加密误用 - 与 分工：本 skill 偏 自有代码逻辑 ，供应链偏依赖与管道 工作流 1. 范围与威胁模型 2. 自动扫描 3. 人工验证（MUST） 4. 产出 工具链 | 工具 | 语言/场景 | |------|-----------| | Semgrep | 多语言快速规则 | | CodeQL | 深数据流（GitHub） | | Bandit | Python | | gosec / staticcheck | Go | | SpotBugs / FindSecBugs | Java | 参考 - - （Agent 代码） 路由上下文 上游 : MASTER R26 角色 : cae 下游 : 依赖漏洞 → supply-chain；…