作者用 Claude Code 里的 Cloudflare security-audit 技能审计自己的 Laravel 12 应用，拿回 31 条问题，却一条都没被确认——因为审计需要一个能跑代码的沙箱，而他的 Intel Mac 不支持，所有结论都标着「需要手工验证」。他把 31 条塞进待办，六天后一次性全修完。文章复盘了这次审计的流程与最让他后怕的三个洞：访客能冒充他跟 AI 员工对话、一条短信验证码验证了邮箱地址、一个反斜杠绕过了重定向检查。
🔑 核心要点
审计不是一段提示词，而是四层结构：建模、二十个「猎人」分波排查、六个批评者查漏、两条复核。
整轮共 93 次智能体运行，直接打满了作者的用量上限。
没有沙箱时所有结论都会降级为「待验证」，但这仍是一份有效的线索清单。
最危险的一类问题来自看似无害的输入校验，而非复杂的加密实现。
💡 金句
“It isn't one prompt. It's a process: four agents mapped the code, twenty "hunters" went looking in waves, six critics checked nothing was skipped, and every finding was re-checked by two more agents before it reached the report.” 译：它不是一段提示词，而是一套流程。