审计 npm package.json 的 scripts 区安全性与清晰度：危险 install hooks、curl|sh、rm -rf、sudo、内联密钥、未钉死的 npx、不可移植 shell 等。
审计陈旧 feature flag，给出可安全清理的清单与风险。
审查表结构、键、索引与规范化问题。
扫描代码中的 TODO/FIXME/HACK/XXX，提取负责人、工单与到期日，输出债务清单。
检查 OpenAPI 规范与实现漂移。
