security-audit-common（L2 公共层）

本 skill 为共享能力层，不单独对用户暴露；被 project-security-audit 与四个场景子 skill 依赖。

目录结构

security-audit-common/
├── SKILL.md
├── scripts/
│   ├── common.py            # 路径/配置/日志/数据模型/CLI 封装
│   ├── cli_wrappers.py      # gitleaks/semgrep/bandit/osv-scanner/pip-audit/reuse 封装与解析
│   ├── report_synthesizer.py# P0–P3 统一报告合成（SECURITY_REPORT.md + findings json）
│   ├── minimal_fix_engine.py# 最小改动修复（本地 Ollama，缺失回退规则）
│   ├── ai_copyright_checker.py # X1–X3 逐平台一票否决
│   ├── store_compliance.py  # 上架清单（play_policy.yaml）
│   ├── oss_compliance.py    # 开源发布 gate
│   └── audit_orchestrator.py# L0 主链路编排入口
├── templates/
│   └── SECURITY_REPORT.md   # 报告规范模板
├── references/
│   ├── platform_terms.yaml  # D6 平台条款快照（X1–X3 等）
│   └── play_policy.yaml     # D5 上架政策快照
└── baselines/
    ├── gitleaks.toml        # gitleaks 基线（extend default + 允许列表）
    └── semgrep_rules/owasp.yml # semgrep OWASP 规则包

环境与路径（可覆盖）

许可合规底线（铁律）

• 仅命令行调用开源工具，不改上游；借鉴 DeepAudit 工作流但严禁复制其 AGPL-3.0 代码。
• 所有产物本地落盘，0 数据出境。
• 工具缺失 → 单工具降级（BD-01），不整体失败。

安装

见 install/install_tools.ps1（Windows）与 install/install_tools.sh（跨平台），将 6 个 CLI 装入 SECURITY_TOOLS_HOME。