用途：审计仓库中因默认配置不安全或缺少加固措施而产生的配置类缺陷，并以生产部署实际生效的配置为准进行判断。
主要能力（十类检查）：1) 调试与详细错误模式（Django DEBUG、Flask/Werkzeug 调试器、Node NODE_ENV、spring-boot-devtools、ASP.NET 开发者异常页、Laravel APP_DEBUG、Rails 本地请求诊断、Go pprof/expvar）；2) 暴露的管理/调试/执行器端点（Spring Boot Actuator 各版本默认暴露差异、Django debug_toolbar、Laravel Telescope/_ignition、phpMyAdmin/Adminer、Swagger、Grafana/Prometheus/Kibana/Jenkins、server-status、.git/.env 等 Web 根目录文件、目录列表）；3) CORS 错配（允许所有来源、来源反射、凭据与通配符并用、null 来源、子域匹配不锚定、逐路由放宽）；4) 安全响应头（CSP、HSTS、X-Content-Type-Options、X-Frame-Options、Referrer-Policy、Permissions-Policy、COOP/COEP/CORP、HTTP 方法限制）；5) Cookie/会话标志（Secure、HttpOnly、SameSite、__Host-/__Secure- 前缀，按框架核对配置位置）；6) TLS 配置（旧协议、弱密码套件、内部服务禁用证书校验）；7) 容器/编排/IaC（root 容器、特权 Pod、docker.sock 挂载、缺 pod securityContext、默认允许网络、公开存储桶、管理端口暴露 0.0.0.0/0、通配 IAM）；8) 默认凭据与种子数据；9) 服务器/版本泄露；10) 反向代理缺口（请求大小与超时限制缺失、盲目信任 X-Forwarded-* 头）。
使用方式：先进行静态审查，动态探测仅限明确授权的目标。判断任何开关前，需先解析生产实际启动的配置档（入口命令、容器环境变量、DJANGO_SETTINGS_MODULE、SPRING_PROFILES_ACTIVE、ASPNETCORE_ENVIRONMENT、RAILS_ENV、FLASK_DEBUG 等），记录生效配置而非首个可疑行。每条发现需记录 file:line、环境解析证据与后果，并按 Confirmed > Probable > Needs-Review 标注状态。
适用场景：代码仓库配置加固审计、上线前安全检查、按层（反向代理、应用运行时、框架开关、中间件顺序、出站调用、容器/IaC、默认身份）排查配置风险。
限制与边界：秘密内容深度、会话语义、IP/头伪造的授权影响、点击劫持机理、加密强度、容量滥用数学分别属其他模块；本资料未提供具体安装命令、收费或价格信息。