用途：对 Terraform 代码库运行六方面安全审计，按领域输出通过/失败报告，适合生产部署前安全评审、周期性基础设施审计、新服务搭建校验和事后安全加固检查。
主要能力：1) IAM：检查 CI/CD 是否用 OIDC 而非长期访问密钥、EKS 是否用 IRSA、ECS 任务角色是否按服务隔离、策略是否最小权限、是否避免 / 通配、是否避免内联策略、AssumeRole 是否含 ExternalId 或 sts:SourceIdentity。2) 网络：数据库是否仅在私有子网、除 ALB 443 外是否无 0.0.0.0/0 入站、安全组是否用 source_security_group_id 而非 CIDR、出站是否受限、是否启用 VPC 流日志、非堡垒机是否无公网 IP。3) 加密：S3 SSE、RDS storage_encrypted 与 SSL 强制、Redis 传输与静态加密、EBS 加密、Terraform state 桶 SSE-KMS、ALB 仅 TLS 1.2+。4) 密钥：.tf 与已提交 .tfvars 中无密钥、secrets.tfvars 入 .gitignore、敏感变量标记 sensitive、密钥经 CI/CD 环境变量注入、state 中无明文密码、用 git-secret-protector 或 pre-commit 钩子拦截误提交。5) 访问：EKS aws-auth 限制角色、控制台用 SSO、堡垒机在私有子网配合 Session Manager、启用 CloudTrail、人类账号强制 MFA。6) 合规：资源打 Project/Service/Environment/ManagedBy 标签、命名遵循 {project}-{service}-{env}、RDS 自动备份保留至少 7 天（生产 30 天）、S3 版本控制、DynamoDB 时间点恢复、关键指标 CloudWatch 告警、成本分配标签。
使用方式：扫描代码库中所有 .tf 文件，逐领域检查不跳过；优先突出严重问题（IAM 通配、公开访问、缺失加密），并为每项失败检查给出修复代码。输出为审计报告，含总体通过/失败、各领域状态与严重/警告/信息计数、严重发现（含文件与行号及修复建议）、警告列表和修复优先级。
限制：资料未提供安装命令、运行命令、平台支持、收费方式或具体集成方式，暂未提供。