用途：对源代码进行静态应用安全测试，在代码审查、部署前验证、遗留代码评估和合规检查（OWASP、PCI-DSS、SOC2）中识别漏洞。
主要能力：支持 Python、JavaScript/TypeScript、Java、Ruby、PHP、Go、Rust 多语言扫描；可集成 Bandit、Semgrep、ESLint Security、SonarQube、CodeQL、PMD、SpotBugs、Brakeman、gosec、cargo-clippy 等工具；覆盖 SQL 注入、XSS、硬编码密钥、路径遍历、IDOR、CSRF、不安全反序列化、命令注入、不安全随机数等模式；可分析 Django、Flask、React、Express、Spring Boot、Rails、Laravel 等框架；支持用 Semgrep 编写组织自定义安全规则。
使用方式：先确定语言、框架与扫描范围，选择 SAST 工具并配置规则，在 CI 或本地以可复现设置运行扫描，再对结果分级、按严重性排序并提出修复建议。相关专项可参考 security-secrets.md（凭据扫描）、security-owasp.md（Top 10 映射）、security-api.md（REST/GraphQL 端点）。
适用场景：代码审查安全分析、注入类漏洞排查、框架特定模式检查、自定义安全策略执行、部署前验证、遗留代码评估与合规审计。
限制：不适用于仅需运行时测试或渗透测试的场景；无法访问源代码或构建产物时不可用；环境禁止第三方扫描工具时不可用。安全注意：未经批准不要将专有代码上传至外部服务；启用自动修复或阻断发布前需人工复核。具体安装命令与配置细节暂未提供。