用途：将 SecOpsAgentKit 各扫描器的安全发现集中到 DefectDojo，去重、跟踪 SLA 并生成合规报告，把分散的扫描输出转成可管理的漏洞待办。
核心概念：Product（被跟踪的应用或系统）、Engagement（有时限的安全活动，如冲刺、评估、CI/CD 流水线）、Test（Engagement 内的一次扫描器运行）、Finding（去重后的安全问题，生命周期 Active → Mitigated → Closed）。
主要能力：聚合 Semgrep、Trivy、Gitleaks 等扫描结果；跨工具自动去重；跟踪 SLA；风险接受与整改历史；生成合规报告；可推送到 JIRA、GitHub Issues，Slack/邮件通知，导出 JSON 供 SIEM 使用。
使用方式：本地启动可 git clone https://github.com/DefectDojo/django-DefectDojo.git 后 cd django-DefectDojo && docker compose up -d，访问 http://localhost:8080（立即修改 admin/admin 密码）。API 密钥在 UI 右上角 User → API v2 Key 获取。导入前先创建 Product 与 Engagement，再运行 ./scripts/import_findings.py --host $DD_HOST --api-key $DD_API_KEY --engagement-id $EID --scan-type "Semgrep JSON Report" semgrep.json。后续同工具同 Engagement 的扫描用 --reimport 更新并自动关闭已修复项。具体工具与解析器名称对应见 references/tool-parser-map.md。
适用场景：CI/CD 持续聚合、冲刺安全评审、合规审计导出。可在 GitHub Actions、GitLab CI、Jenkins、CircleCI 中每个扫描步骤后加导入步骤。
限制与安全：需自行部署与保管凭据，按角色限制访问，生产启用 HTTPS 与 SSO/LDAP，API 密钥按流水线最小权限发放并定期轮换；解析器名称区分大小写；--host 不应带结尾斜杠。价格、平台托管与商业支持等资料暂未提供。