用途：对代码库进行综合安全扫描，覆盖依赖漏洞（CVE）、OWASP Top 10 代码模式与依赖审计，适合在开发或审计阶段检查项目安全状况。
主要能力：自动识别项目类型（Node.js、Python、Go、Rust、PHP、Ruby、Java、容器等）并选择对应工具；并行运行依赖扫描与 OWASP 代码扫描；通过 NVD API 补充 CVE 的 CVSS 评分、描述与修复建议；生成 CLI 摘要与 security-report.md；支持误报记录并导出 DOCX/PDF 报告；可选自动提醒。
使用方式：命令包括 /security-scan（完整扫描）、--deps-only、--code-only、--owasp A03、--severity critical,high、--auto-remind on|off、--export-bypass（可加 --pdf、--template）。依赖扫描按项目类型运行 npm audit、pip-audit、govulncheck、cargo audit、trivy 等；代码扫描使用 semgrep --config "p/owasp-top-ten" --json .。缺失工具时提供安装命令，如 npm install -g semgrep、pip install pip-audit、go install golang.org/x/vuln/cmd/govulncheck@latest、cargo install cargo-audit、brew install trivy。
适用场景：提交前检查、依赖升级评估、安全审计与合规报告、误报说明文档生成。
限制：需要安装 semgrep 等外部工具；NVD 无 API key 时限制为每 30 秒 5 次请求；自动提醒默认关闭；误报导出依赖 docx/pdf 技能；具体平台与收费信息暂未提供。