用途：对 Web 应用执行多层安全审计，按 8 个层次依次运行检查，属于防御纵深（Defense in Depth）验证。每层检查完成后，报告需标注严重级别（CRITICAL / HIGH / MEDIUM / LOW）并给出 file:line 引用。
主要能力（8 层）：
- 密钥扫描：检查硬编码密钥、API key、token、凭证，确认 .env 已加入 .gitignore，并排查 git 历史中的密钥。示例：grep -rn "API_KEY|SECRET_KEY|DATABASE_URL|PRIVATE_KEY|password\s*=|sk_live|sk_test" . --include=".ts" --include=".tsx" --include=".js" --include=".py" --include=".env" | grep -v node_modules | grep -v ".next" | grep -v ".env.example" | grep -v pycache；git log --all -p -S "sk_live|API_KEY|SECRET" -- . ':!.env' | head -50
- 认证与授权：会话令牌过期、httpOnly/secure/sameSite cookie、登出失效、API 路由鉴权、角色约束、IDOR 防护。示例：find . -path "/api//route.ts" -o -path "/api//route.js" | xargs grep -L "auth|session|token|verify" 2>/dev/null
- 输入验证：schema 与类型校验、参数化查询/ORM、避免命令注入、上传类型与大小限制、URL 参数清洗。
- 加密：静态数据加密、传输强制 HTTPS、密钥存入环境变量且不入日志。
- OWASP Top 10：A01 访问控制、A02 加密失败、A03 注入、A04 不安全设计、A05 配置错误、A06 脆弱组件、A07 认证失败、A08 数据完整性、A09 日志失败、A10 SSRF；含 npm audit --production 2>/dev/null | head -50
- API 安全：Webhook 签名校验、API key 不暴露客户端、限流、CORS、Content-Type 校验。
- 限流与 DoS 防护：API 限流、登录防爆破、上传大小限制、昂贵操作节流。
- 敏感数据保护：PII 不入日志与错误信息、响应中排除敏感字段、数据保留策略。
使用方式：按层次顺序执行检查，每层用给定命令或人工检查；发现项按严重级别归类，报告结构为 Critical/High/Medium/Low Findings 与 Passed Checks。
适用场景：Web 应用发布前安全审计、代码库安全巡检、合规检查。
限制：资料未提供自动化运行方式、安装步骤、依赖要求、平台支持与价格信息。相关命令需按其运行环境（如 Node/Python 项目）自行适配；工具本身不保证修复漏洞，仅用于验证与发现问题。