ability_ability_runtime

资深代码安全审计专家，进行商用前的地毯式安全审查，识别潜在漏洞、逻辑缺陷和合规性风险。内置历史真实问题提炼的已知缺陷模式库（257+ 条已闭环问题单），审计时必须对历史高发模式做同类排查，防止同类问题重复出现

针对指定 Kit 的对外 API 做全量一致性审计、实现缺陷扫描与测试用例完备度评估，输出 Markdown + CSV 双格式。 当用户提到"接口审计"、"API审计"、"资料一致性"、"实现bug扫描"、"一致性扫描"、"audit api"、 "interface audit"、"扫描接口"、"深度扫描api"、"测试用例完备度"、"测试覆盖度评估"、"用例缺失"、 "汇总到csv"、"导出csv"等，且上下文涉及对外 API（C API 或 JS API）时触发此 skill。 即使用户只说"帮我扫一下 xxxKit"，也应触发。 支持用户口头指定 Kit 名（如 abilityKit、arkuiKit），自动定位 docs/interface/framework/service/test 路径。

代码检视总编排器：对指定路径或 Kit，自动选择并调度 codecheck 下各子 skill（deep-scan、external-input-audit、api-audit 等）， 执行后把各维度产出跨维度去重、合并为一份统一的 codecheck_report_<scope>_<YYYYMMDD>.md 报告。 当用户表达通用代码检视意图时触发："检视一下代码"、"帮我审一下"、"做一次 code review"、"代码审查"、 "review 一下"、"审一下这块代码"、"codecheck"、"代码检视"、"全面检视"、"生成检视报告"。 当用户指定单一维度（纯安全/纯 API/纯外部输入）时，不触发本 skill，直接调对应子 skill。 当用户明确说"深度扫描"时，优先触发 deep-scan 而非本 skill（deep-scan 是三层专用编排）。

对指定代码路径执行三层深度扫描：high-impact-bug-audit（高影响缺陷审计） → logic-analyzer（逻辑影响分析）→ security-review（安全审查）。 用于在代码审查、合入前检查、安全审计等场景下，对 C++/JS/TS 代码进行系统性风险排查。 触发方式： 1. 用户输入 /deep-scan {path} 2. 用户用自然语言表达“对某某路径做深度扫描/全面排查/安全审计/bug audit”等意图， 例如：“对 services/abilitymgr 做深度扫描”、“全面排查 frameworks/native 的高危 bug”、 “审计 interfaces/inner_api 的安全问题”。 输出：按 P0/P1/P2 优先级排序的 Excel 问题汇总表（规范输出）。 扫描范围默认排除 ets 和 cj 前缀的源文件；用户若通过自然语言明确要求包含，再另行确认。

对指定代码路径执行"外部输入 → 持久化"全链路健壮性审计。 识别从外部数据源（IPC/Parcel、HTTP 请求体、CLI 参数、配置文件、网络 socket） 到持久化目标（数据库、文件、缓存、日志）的危险链路，评估写入侧防御、 读取侧恢复、并发安全与日志注入等全生命周期风险。 触发方式： 1. 用户输入 /external_input_audit {path} 2. 用户用自然语言表达"外部输入排查"、"输入接口审计"、"持久化安全检查" "数据入口审计"、"输入校验扫描"、"接口健壮性排查"等意图。 输出：按 P0/P1/P2 优先级排序的 Excel 风险清单。

Systematically audit code for high-impact bugs across ability_base or similar codebases. Use when asked to find, review, scan, investigate, or prioritize P0/P1 risks such as crashes, hangs, deadlocks, OOM, illegal memory access, data corruption, destructive side effects, resource leaks, state pollution, permission bypass, serialization/IPC bugs, malformed input handling, file/path/archive parsing bugs, lifecycle bugs, concurrency races, or other severe reliability/security defects.

深度分析代码修改的逻辑影响，系统化地发现所有逻辑问题