@metago-ai/dev-kit 1.0.8 → 1.1.0

package/README.md

@@ -10,7 +10,7 @@
 
 ## 这是什么？
 
-**MetaGO Dev Kit** 是 [MetaGO Lifeform Kit](https://www.npmjs.com/package/metago-lifeform) 的垂直场景包之一，专门面向开发者。它复用 4 个核心元构能力（决策锁、批判性分析、事实核查、问题溯源），并叠加 4 个开发专用技能（深度代码审查、架构设计、重构建议、安全审计），让 智能体在开发场景中具备工程级能力。
+**MetaGO Dev Kit** 是 [MetaGO Agent Harness](https://www.npmjs.com/package/metago-lifeform) 的垂直场景包之一，专门面向开发者。它复用 4 个核心元构能力（决策锁、批判性分析、事实核查、问题溯源），并叠加 4 个开发专用技能（深度代码审查、架构设计、重构建议、安全审计），让 智能体在开发场景中具备工程级能力。
 
 | 维度 | 说明 |
 |------|------|
@@ -29,10 +29,10 @@
 
 | 技能 | 来源 | 在 Dev Kit 中的作用 |
 |------|------|---------------------|
-| `metago-decision-lock` | Lifeform Kit | 强制校验代码审查/架构决策的输出 |
-| `metago-critique` | Lifeform Kit | L1-L5 分级批判代码方案 |
-| `metago-fact-check` | Lifeform Kit | 验证技术声明与依赖版本真实性 |
-| `metago-problem-trace` | Lifeform Kit | 溯源 bug 根因，构建问题树 |
+| `metago-decision-lock` | Agent Harness | 强制校验代码审查/架构决策的输出 |
+| `metago-critique` | Agent Harness | L1-L5 分级批判代码方案 |
+| `metago-fact-check` | Agent Harness | 验证技术声明与依赖版本真实性 |
+| `metago-problem-trace` | Agent Harness | 溯源 bug 根因，构建问题树 |
 
 ### 新增的开发专用技能（4 个）
 

package/index.js

@@ -0,0 +1,56 @@
+#!/usr/bin/env node
+/**
+ * @metago-ai/dev-kit v1.1.0
+ *
+ * MetaGO Agent Harness — Dev Kit 入口
+ * 开发者垂直场景包：4 个核心能力复用 + 4 个开发专用技能
+ */
+
+const fs = require('fs');
+const path = require('path');
+
+const DEV_SKILLS = [
+  'metago-code-review-deep',
+  'metago-architecture-design',
+  'metago-refactor-suggest',
+  'metago-security-audit',
+];
+
+const REUSED_SKILLS = [
+  'metago-decision-lock',
+  'metago-critique',
+  'metago-fact-check',
+  'metago-problem-trace',
+];
+
+function listSkills() {
+  console.log('MetaGO Dev Kit v1.1.0 — Developer Vertical Skills\n');
+  console.log('Added Skills (4):');
+  DEV_SKILLS.forEach((s, i) => console.log(`  ${i + 1}. ${s}`));
+  console.log('\nReused Skills (4):');
+  REUSED_SKILLS.forEach((s, i) => console.log(`  ${i + 1}. ${s}`));
+  console.log(`\nTotal: 8 skills`);
+}
+
+function verifySkills() {
+  console.log('Verifying Dev Kit skills...\n');
+  let allOk = true;
+  for (const skill of DEV_SKILLS) {
+    const skillPath = path.join(__dirname, 'skills', skill, 'SKILL.md');
+    const exists = fs.existsSync(skillPath);
+    console.log(`  ${exists ? '✓' : '✗'} ${skill}: ${exists ? 'SKILL.md found' : 'MISSING'}`);
+    if (!exists) allOk = false;
+  }
+  console.log(`\n${allOk ? '✓ All Dev Kit skills verified' : '✗ Some skills missing'}`);
+  process.exit(allOk ? 0 : 1);
+}
+
+const arg = process.argv[2];
+if (arg === '--list') {
+  listSkills();
+} else if (arg === '--verify') {
+  verifySkills();
+} else {
+  listSkills();
+  console.log('\nUsage: node index.js [--list|--verify]');
+}

package/package.json

@@ -1,40 +1,59 @@
-{
-  "name": "@metago-ai/dev-kit",
-  "version": "1.0.8",
-  "description": "MetaGO Agent Harness（智能体运行时控制层套件 · 驭智层）Dev Kit — 开发者垂直场景包，把 AI 升级为遵循决策锁治理的代码生命体。复用 4 个核心能力（决策锁/批判性分析/事实核查/问题溯源）+ 叠加 4 个开发专用技能：深度代码审查（5 步流程 + 4 级分级）、架构设计（5 步 + 7 原则 + ADR）、重构建议（8 种代码异味检测）、安全审计（OWASP Top 10 + CVSS 评分）。",
-  "main": "README.md",
-  "scripts": {
-    "list": "echo 'Dev Kit skills: metago-code-review-deep, metago-architecture-design, metago-refactor-suggest, metago-security-audit'",
-    "verify": "powershell -Command \"Get-ChildItem ../../skills/metago-code-review-deep,../../skills/metago-architecture-design,../../skills/metago-refactor-suggest,../../skills/metago-security-audit -Filter SKILL.md | Select-Object FullName\""
-  },
-  "keywords": [
-    "metago", "dev-kit", "developer", "code-review", "architecture",
-    "refactor", "security-audit", "agentskills", "ai-governance"
-  ],
-  "author": "易霄 / MetaGO Lightyear",
-  "license": "MIT",
-  "metago": {
-    "type": "vertical-kit",
-    "vertical": "developer",
-    "reusedSkills": [
-      "metago-decision-lock",
-      "metago-critique",
-      "metago-fact-check",
-      "metago-problem-trace"
-    ],
-    "addedSkills": [
-      "metago-code-review-deep",
-      "metago-architecture-design",
-      "metago-refactor-suggest",
-      "metago-security-audit"
-    ],
-    "totalSkills": 8,
-    "parentPackage": "metago-lifeform@>=36.7.5"
-  },
-  "homepage": "https://metago.life",
-  "repository": {
-    "type": "git",
-    "url": "https://gitee.com/metago/metagolifeform.git",
-    "directory": "packages/dev-kit"
-  }
-}
+{
+  "name": "@metago-ai/dev-kit",
+  "version": "1.1.0",
+  "description": "MetaGO Agent Harness（智能体运行时控制层套件 · 驭智层）Dev Kit — 开发者垂直场景包，把 AI 升级为遵循决策锁治理的代码生命体。复用 4 个核心能力（决策锁/批判性分析/事实核查/问题溯源）+ 叠加 4 个开发专用技能：深度代码审查（5 步流程 + 4 级分级）、架构设计（5 步 + 7 原则 + ADR）、重构建议（8 种代码异味检测）、安全审计（OWASP Top 10 + CVSS 评分）。V1.1.0 恢复为完整包，含 4 个 Dev Kit 技能 SKILL.md 实际代码。",
+  "main": "index.js",
+  "scripts": {
+    "list": "node index.js --list",
+    "verify": "node index.js --verify"
+  },
+  "keywords": [
+    "metago",
+    "dev-kit",
+    "developer",
+    "code-review",
+    "architecture",
+    "refactor",
+    "security-audit",
+    "agentskills",
+    "ai-governance"
+  ],
+  "author": "易霄 / 元构光年（成都）人工智能科技有限公司",
+  "license": "MIT",
+  "metago": {
+    "type": "vertical-kit",
+    "vertical": "developer",
+    "rules_version": "V36.8.5",
+    "reusedSkills": [
+      "metago-decision-lock",
+      "metago-critique",
+      "metago-fact-check",
+      "metago-problem-trace"
+    ],
+    "addedSkills": [
+      "metago-code-review-deep",
+      "metago-architecture-design",
+      "metago-refactor-suggest",
+      "metago-security-audit"
+    ],
+    "totalSkills": 8,
+    "parentPackage": "metago-lifeform@>=36.8.0"
+  },
+  "homepage": "https://metago.life",
+  "repository": {
+    "type": "git",
+    "url": "https://github.com/metago-ai/metagolifeform.git",
+    "directory": "packages/dev-kit"
+  },
+  "bugs": {
+    "url": "https://github.com/metago-ai/metagolifeform/issues",
+    "email": "researcher.yi@youfer.cn"
+  },
+  "files": [
+    "skills/",
+    "index.js",
+    "README.md",
+    "LICENSE",
+    "package.json"
+  ]
+}

package/skills/metago-architecture-design/SKILL.md

@@ -0,0 +1,114 @@
+---
+name: "metago-architecture-design"
+description: "架构设计技能。根据业务需求生成完整系统架构方案，含架构模式选择、模块分解、接口契约、数据流设计、技术选型依据。遵循高内聚低耦合、可扩展、可维护原则，输出含决策依据的架构文档。"
+version: "1.0.0"
+author: "MetaGO"
+category: "科技开发"
+platforms: ["cursor","claude-code","codex","trae","codebuddy","qoder","zcode","workbuddy","qclaw","ima"]
+trigger:
+  - "帮我设计架构"
+  - "系统架构设计"
+  - "技术选型方案"
+  - "模块分解设计"
+  - "生成ADR"
+---
+
+# 架构设计（metago-architecture-design）
+
+## 描述
+根据业务需求生成完整系统架构方案，覆盖架构模式选择、模块分解、接口契约设计、数据流规划、技术选型。输出含决策依据和权衡分析的架构文档。
+
+## 触发条件
+- 用户请求架构设计、系统设计、技术选型时激活
+- 新项目启动阶段
+- 系统重构/迁移规划阶段
+- 与 `metago-action-plan` 协同：重大技术决策时强制触发
+
+## 核心流程
+
+### 1. 需求分解
+- 功能性需求拆解（核心用例、边缘场景）
+- 非功能性需求量化（QPS、延迟、可用性、数据规模）
+- 约束条件识别（预算、团队规模、技术栈、合规要求）
+- 演进路径规划（MVP → 完整版 → 规模化）
+
+### 2. 架构模式选择
+- 评估候选架构模式（单体/微服务/事件驱动/分层/CQRS）
+- 基于需求约束的权衡分析
+- 架构决策记录（ADR - Architecture Decision Record）
+- 替代方案与降级策略
+
+### 3. 模块分解
+- 领域驱动设计（DDD）边界划分
+- 模块职责定义（单一职责原则）
+- 模块间依赖关系（无循环依赖）
+- 接口契约定义（输入/输出/异常）
+
+### 4. 数据流设计
+- 数据模型设计（ER 图、字段约束）
+- 数据流向（同步/异步、推/拉）
+- 一致性策略（强一致/最终一致）
+- 缓存策略与失效机制
+
+### 5. 技术选型
+- 技术栈评估（成熟度、社区、性能、人才市场）
+- 选型依据记录（为什么选 A 不选 B）
+- 风险评估（供应商锁定、废弃风险）
+- 替代方案储备
+
+## 架构原则检查清单
+
+- [ ] 高内聚低耦合（模块内聚度 ≥ 0.8，耦合度 ≤ 0.3）
+- [ ] 单一职责（每个模块只做一件事）
+- [ ] 开闭原则（对扩展开放，对修改关闭）
+- [ ] 可独立部署（模块可独立部署和回滚）
+- [ ] 可水平扩展（无状态服务可水平扩展）
+- [ ] 故障隔离（单点故障不影响全局）
+- [ ] 可观测性（日志、指标、追踪完备）
+
+## 输出格式
+
+```
+【架构设计文档】
+
+## 1. 需求摘要
+- 核心用例：...
+- 性能指标：QPS=X, 延迟≤Xms, 可用性≥X%
+- 约束条件：...
+
+## 2. 架构概览
+架构模式：[模式名]
+选择依据：[权衡分析]
+替代方案：[方案 B, 方案 C]
+
+## 3. 模块设计
+| 模块 | 职责 | 接口 | 依赖 |
+|------|------|------|------|
+| ... | ... | ... | ... |
+
+## 4. 数据流
+[数据流向图描述]
+一致性策略：...
+
+## 5. 技术选型
+| 层次 | 技术 | 选型依据 | 替代方案 |
+|------|------|----------|----------|
+| ... | ... | ... | ... |
+
+## 6. 演进路径
+- MVP：...
+- V1：...
+- 规模化：...
+
+## 7. 风险与缓解
+| 风险 | 概率 | 影响 | 缓解措施 |
+|------|------|------|----------|
+| ... | ... | ... | ... |
+```
+
+## 与其他技能的协同
+- 与 `metago-action-plan` 协同：架构设计输出联动行动计划生成
+- 与 `metago-decision-eval` 协同：架构决策需通过决策评估
+- 与 `metago-critique` 协同：架构方案需通过 L1-L5 批判性分析
+- 与 `metago-whatif` 协同：反事实推演验证架构韧性
+- 与 `metago-coupling-optimize` 协同：模块耦生度量化优化

package/skills/metago-code-review-deep/SKILL.md

@@ -0,0 +1,103 @@
+---
+name: "metago-code-review-deep"
+description: "深度代码审查技能。对代码进行多维度分级审查（Critical/Major/Minor/Info），覆盖逻辑正确性、安全漏洞、性能瓶颈、可维护性、风格一致性。基于元构批判性分析（metago-critique）和事实核查（metago-fact-check）能力，输出含修复建议的结构化审查报告。"
+version: "1.0.0"
+author: "MetaGO"
+category: "科技开发"
+platforms: ["cursor","claude-code","codex","trae","codebuddy","qoder","zcode","workbuddy","qclaw","ima"]
+trigger:
+  - "帮我做代码审查"
+  - "审查这段代码"
+  - "Code Review"
+  - "检查代码质量"
+  - "PR Review"
+---
+
+# 深度代码审查（metago-code-review-deep）
+
+## 描述
+对代码进行多维度分级审查，检测逻辑错误、安全漏洞、性能问题、可维护性缺陷、风格不一致。输出含修复建议和优先级的结构化报告。
+
+## 触发条件
+- 用户请求代码审查、PR Review、Code Review 时激活
+- 代码提交前审查（pre-commit hook 场景）
+- 与 `metago-decision-lock` 协同：开发者任务输出代码时强制触发
+
+## 核心流程
+
+### 1. 静态结构分析
+- 文件组织与模块划分是否合理
+- 函数/类职责是否单一
+- 依赖关系是否清晰（无循环依赖）
+- 代码重复度检测（DRY 原则）
+
+### 2. 逻辑正确性审查
+- 边界条件处理（空值、极值、越界）
+- 异常路径覆盖（错误处理、资源释放）
+- 并发安全（竞态条件、死锁）
+- 算法正确性（时间复杂度、空间复杂度）
+
+### 3. 安全漏洞审查
+- 注入漏洞（SQL/命令/XSS）
+- 认证授权缺陷
+- 敏感信息泄露（硬编码密钥、日志泄密）
+- 依赖漏洞（已知 CVE）
+
+### 4. 性能审查
+- 数据库查询效率（N+1、全表扫描）
+- 内存泄漏风险
+- 不必要的同步阻塞
+- 资源未释放（文件句柄、连接池）
+
+### 5. 可维护性审查
+- 命名清晰度（变量、函数、类）
+- 注释完整度（复杂逻辑、公共 API）
+- 单一职责原则遵循度
+- 开闭原则遵循度
+
+## 分级标准
+
+| 级别 | 含义 | 处理时机 |
+|------|------|----------|
+| 🔴 Critical | 必须立即修复（安全漏洞、数据丢失、崩溃） | 阻断合并 |
+| 🟠 Major | 应在合并前修复（逻辑错误、性能严重问题） | 阻断合并 |
+| 🟡 Minor | 建议修复（可维护性、风格） | 可后续修复 |
+| 🔵 Info | 提示性建议（优化、最佳实践） | 仅记录 |
+
+## 输出格式
+
+```
+【深度代码审查报告】
+
+文件：path/to/file.ext
+审查范围：函数/类/模块
+总体评分：XX/100
+
+🔴 Critical（N 项）
+  [C-001] 行 XX: 问题描述
+    影响：...
+    修复建议：...
+    依据：...
+
+🟠 Major（N 项）
+  [M-001] 行 XX: 问题描述
+    影响：...
+    修复建议：...
+
+🟡 Minor（N 项）
+  [m-001] 行 XX: 问题描述
+    建议改进：...
+
+🔵 Info（N 项）
+  [i-001] 建议优化：...
+
+审查结论：✅ 通过 / ❌ 需修复后重新审查
+```
+
+## 与其他技能的协同
+- 与 `metago-critique` 协同：审查过程应用 L1-L5 批判性分析
+- 与 `metago-fact-check` 协同：检测虚构 API、不存在的函数（幻觉代码）
+- 与 `metago-decision-lock` 协同：审查报告需通过决策锁校验
+- 与 `metago-problem-trace` 协同：问题无限溯源至根本原因
+- 与 `metago-security-audit` 协同：安全维度联动深度安全审计
+- 与 `metago-refactor-suggest` 协同：可维护性问题联动重构建议

package/skills/metago-refactor-suggest/SKILL.md

@@ -0,0 +1,116 @@
+---
+name: "metago-refactor-suggest"
+description: "重构建议技能。检测代码异味（Code Smell）、量化技术债务、识别重构机会，生成含优先级和影响范围的重构方案。遵循行为保持变换原则，确保重构不改变外部行为。输出含前后对比的重构报告。"
+version: "1.0.0"
+author: "MetaGO"
+category: "科技开发"
+platforms: ["cursor","claude-code","codex","trae","codebuddy","qoder","zcode","workbuddy","qclaw","ima"]
+trigger:
+  - "帮我重构代码"
+  - "检测代码异味"
+  - "技术债务评估"
+  - "代码优化建议"
+  - "重构方案生成"
+---
+
+# 重构建议（metago-refactor-suggest）
+
+## 描述
+检测代码异味、量化技术债务、识别重构机会，生成含优先级和影响范围的重构方案。遵循行为保持变换（Behavior Preservation）原则，确保重构不改变外部行为。
+
+## 触发条件
+- 用户请求重构、代码优化、技术债务评估时激活
+- 代码审查发现可维护性问题时联动触发
+- 定期技术债务盘点
+- 与 `metago-code-review-deep` 协同：审查发现 Minor/Major 问题时触发
+
+## 核心流程
+
+### 1. 代码异味检测
+- 长函数（行数 > 阈值，默认 50 行）
+- 大类（字段/方法数 > 阈值）
+- 重复代码（相似度 > 80%）
+- 过长参数列表（参数数 > 5）
+- 发散式修改（一个类因多个原因修改）
+- 霰弹式修改（一个修改引发多处变更）
+- 特性依恋（方法调用大量其他类）
+- 数据泥团（多个变量总是一起出现）
+
+### 2. 复杂度量分析
+- 圈复杂度（Cyclomatic Complexity）> 10 需重构
+- 认知复杂度（Cognitive Complexity）> 15 需重构
+- 继承深度（DIT）> 4 需关注
+- 耦合度（CBO）> 10 需优化
+
+### 3. 依赖分析
+- 循环依赖检测
+- 不稳定依赖（依赖不稳定模块）
+- 上层依赖下层（违反依赖倒置）
+- 过度耦合（一个模块依赖过多模块）
+
+### 4. 重构机会识别
+| 异味类型 | 推荐重构手法 | 优先级 | 影响范围 |
+|----------|-------------|--------|----------|
+| 长函数 | Extract Method | 高 | 函数级 |
+| 重复代码 | Extract Method / Pull Up Method | 高 | 类级 |
+| 大类 | Extract Class | 中 | 模块级 |
+| 过长参数 | Introduce Parameter Object | 低 | 函数级 |
+| 特性依恋 | Move Method | 中 | 类级 |
+| 循环依赖 | Extract Class / Move Method | 高 | 模块级 |
+
+### 5. 重构方案生成
+- 重构步骤分解（原子化操作）
+- 行为保持验证（测试覆盖要求）
+- 风险评估（回归概率）
+- 前后对比（复杂度、可读性、可维护性指标）
+
+## 输出格式
+
+```
+【重构建议报告】
+
+## 1. 技术债务概览
+债务等级：🟢 低 / 🟡 中 / 🔴 高
+债务量化：预估 N 人天
+热点模块：path/to/module
+
+## 2. 代码异味清单
+| # | 异味 | 位置 | 严重度 | 推荐手法 |
+|---|------|------|--------|----------|
+| 1 | 长函数（85行） | file.ext:L10-L95 | 🟡 Major | Extract Method |
+| 2 | 重复代码（92%相似） | file.ext:L20 / file2.ext:L15 | 🔴 Critical | Extract Method |
+| ... | ... | ... | ... | ... |
+
+## 3. 重构方案（按优先级排序）
+
+### 方案1：[重构名称]
+- 目标：...
+- 步骤：
+  1. ...
+  2. ...
+  3. ...
+- 测试要求：覆盖率达 X%
+- 风险评估：低 / 中 / 高
+- 预期收益：复杂度 15→8，可读性 +40%
+
+### 方案2：...
+
+## 4. 重构前后对比
+| 指标 | 重构前 | 重构后 | 改善 |
+|------|--------|--------|------|
+| 圈复杂度 | 18 | 6 | -67% |
+| 重复率 | 35% | 5% | -86% |
+| 可维护性 | 4.2/10 | 8.1/10 | +93% |
+
+## 5. 建议执行顺序
+1. 先补充测试（当前覆盖率 X%）
+2. 执行方案1（低风险高收益）
+3. 执行方案2（...）
+```
+
+## 与其他技能的协同
+- 与 `metago-code-review-deep` 协同：审查发现可维护性问题时触发重构建议
+- 与 `metago-coupling-optimize` 协同：耦生度量化指导重构优先级
+- 与 `metago-critique` 协同：重构方案需通过批判性分析
+- 与 `metago-decision-lock` 协同：重构执行前需通过决策锁校验
+- 与 `metago-fact-check` 协同：验证重构前后行为一致性

package/skills/metago-security-audit/SKILL.md

@@ -0,0 +1,178 @@
+---
+name: "metago-security-audit"
+description: "安全审计技能。基于OWASP Top 10进行多维度安全审计，检测注入漏洞、认证授权缺陷、敏感信息泄露、依赖漏洞。输出含CVE引用、漏洞等级、修复方案的安全审计报告。遵循A36法律优先于效率原则。"
+version: "1.0.0"
+author: "MetaGO"
+category: "安全合规"
+platforms: ["cursor","claude-code","codex","trae","codebuddy","qoder","zcode","workbuddy","qclaw","ima"]
+trigger:
+  - "安全审计"
+  - "漏洞扫描"
+  - "OWASP检查"
+  - "渗透测试"
+  - "依赖安全评估"
+---
+
+# 安全审计（metago-security-audit）
+
+## 描述
+基于 OWASP Top 10 进行多维度安全审计，检测注入漏洞、认证授权缺陷、敏感信息泄露、依赖漏洞。输出含 CVE 引用、漏洞等级、修复方案的结构化报告。遵循 A36 法律优先于效率原则。
+
+## 触发条件
+- 用户请求安全审计、漏洞扫描、渗透测试时激活
+- 代码合并前安全审查
+- 依赖更新时安全评估
+- 与 `metago-compliance` 协同：合规检查时联动安全审计
+- 涉及用户数据、支付、权限的功能强制触发
+
+## 核心流程
+
+### 1. OWASP Top 10 检查
+
+#### A01 - 失效的访问控制
+- 路径遍历漏洞（../、绝对路径）
+- 越权访问（水平/垂直越权）
+- 未授权 API 端点
+- 缺失权限校验
+
+#### A02 - 加密失败
+- 明文传输（HTTP、未加密 WebSocket）
+- 弱加密算法（MD5、SHA1、DES）
+- 硬编码密钥/证书
+- 敏感数据明文存储
+
+#### A03 - 注入
+- SQL 注入（拼接查询、未参数化）
+- 命令注入（shell 拼接、eval）
+- XSS（反射型、存储型、DOM 型）
+- LDAP/XPath/NoSQL 注入
+
+#### A04 - 不安全设计
+- 缺失威胁建模
+- 不安全的业务流程（可重放、可绕过）
+- 缺失速率限制（暴力破解、DoS）
+- 敏感操作无二次确认
+
+#### A05 - 安全配置错误
+- 默认凭证未修改
+- 错误信息泄露堆栈/路径
+- 不安全的 HTTP 头（缺失 CSP、HSTS）
+- 不必要的功能启用（DEBUG、TRACE）
+
+#### A06 - 易受攻击的组件
+- 已知 CVE 的依赖
+- 过时依赖（超过 N 个版本）
+- 未经审计的依赖（无签名、无 SBOM）
+- 供应链攻击风险
+
+#### A07 - 认证失败
+- 弱密码策略
+- 会话管理缺陷（固定会话、不过期）
+- 缺失多因素认证（高权限场景）
+- 凭证填充防护缺失
+
+#### A08 - 数据完整性失败
+- 反序列化漏洞
+- 未签名的更新/插件
+- CI/CD 管道安全
+- 代码注入（include/require 用户输入）
+
+#### A09 - 日志与监控失败
+- 安全事件未记录
+- 日志包含敏感信息
+- 缺失告警机制
+- 日志可篡改
+
+#### A10 - 服务端请求伪造（SSRF）
+- 用户输入直接用于 URL 请求
+- 内网访问未限制
+- 协议白名单缺失
+- DNS 重绑定
+
+### 2. 依赖漏洞扫描
+- 检查 package.json / pom.xml / requirements.txt 依赖版本
+- 比对 CVE 数据库
+- 评估漏洞可利用性（CVSS 评分）
+- 生成升级建议
+
+### 3. 敏感信息检测
+- 硬编码密钥（API Key、Token、Password）
+- 日志中的敏感数据
+- 配置文件中的明文凭证
+- Git 历史中的敏感信息
+
+## 漏洞等级标准
+
+| 等级 | CVSS | 含义 | 处理时效 |
+|------|------|------|----------|
+| 🔴 Critical | 9.0-10.0 | 立即修复（RCE、数据泄露） | 24 小时内 |
+| 🟠 High | 7.0-8.9 | 尽快修复（注入、越权） | 7 天内 |
+| 🟡 Medium | 4.0-6.9 | 计划修复（信息泄露） | 30 天内 |
+| 🔵 Low | 0.1-3.9 | 评估修复（配置优化） | 下个版本 |
+
+## 输出格式
+
+```
+【安全审计报告】
+
+## 1. 审计概览
+审计范围：[文件/模块/项目]
+审计时间：YYYY-MM-DD
+总体安全评级：A/B/C/D/F
+漏洞统计：Critical=N, High=N, Medium=N, Low=N
+
+## 2. 漏洞详情
+
+### 🔴 Critical
+[V-001] [漏洞名称]
+  类型：OWASP A0X - [类别]
+  位置：file.ext:LXX
+  描述：...
+  影响：...
+  CVE：CVE-2024-XXXX（如适用）
+  CVSS：X.X
+  修复方案：
+    1. ...
+    2. ...
+  参考标准：...
+
+### 🟠 High
+[V-002] ...
+
+### 🟡 Medium
+[V-003] ...
+
+### 🔵 Low
+[V-004] ...
+
+## 3. 依赖漏洞
+| 依赖 | 当前版本 | 漏洞版本 | CVE | CVSS | 建议版本 |
+|------|----------|----------|-----|------|----------|
+| ... | ... | ... | ... | ... | ... |
+
+## 4. 敏感信息检测
+| # | 类型 | 位置 | 风险 | 处理建议 |
+|---|------|------|------|----------|
+| 1 | 硬编码 API Key | file.ext:LXX | 高 | 移至环境变量 |
+
+## 5. 安全配置检查
+| 检查项 | 状态 | 建议 |
+|--------|------|------|
+| HTTPS 强制 | ✅/❌ | ... |
+| CSP 头 | ✅/❌ | ... |
+| HSTS | ✅/❌ | ... |
+| 速率限制 | ✅/❌ | ... |
+
+## 6. 审计结论
+安全状态：✅ 通过 / ❌ 需修复后重新审计
+合规状态：符合 / 不符合 [标准名]
+优先修复项：V-001, V-002
+```
+
+## 与其他技能的协同
+- 与 `metago-compliance` 协同：安全审计联动法律/伦理/安全合规检查
+- 与 `metago-code-review-deep` 协同：代码审查的安全维度联动安全审计
+- 与 `metago-decision-lock` 协同：安全审计报告需通过决策锁校验
+- 与 `metago-fact-check` 协同：验证漏洞的可利用性（避免误报）
+- 与 `metago-problem-trace` 协同：漏洞根因无限溯源
+- 与 `metago-critique` 协同：审计结论需通过批判性分析