code-quality-scan 是一个移动应用代码质量与供应链安全审计技能，面向移动应用安全场景，用于按 OWASP MASVS-CODE 控制项和 MASTG 测试对目标代码库进行系统化审计。
用途：对指定移动应用代码库进行代码质量与供应链安全审计，覆盖平台版本要求、应用更新机制、依赖漏洞和输入校验四个 MASVS-CODE 控制项。
主要能力：
- 平台版本核查。Android 侧检查 build.gradle / build.gradle.kts 中的 minSdkVersion/minSdk 与 targetSdkVersion/targetSdk/compileSdk，标记与安全需求、监管义务或依赖栈不匹配的版本，并识别对已废弃或移除 API 的依赖；iOS 侧检查项目设置或 Podfile 中的最低部署目标及已废弃 API（如 UIWebView、旧版加密/网络 API）。
- 强制更新机制核查。搜索应用内更新库或自定义更新检查逻辑，Android 检查 Google Play 应用内更新 API（AppUpdateManager），iOS 检查对照 App Store API 的自定义版本检查；核查更新机制不可被绕过、关键更新能否阻断应用使用（强制与灵活更新）。
- 依赖漏洞评估。Android 读取 build.gradle / gradle.lockfile；iOS 读取 Podfile/CocoaPods、Package.swift/包解析文件、Cartfile/Carthage；跨平台项目读取 React Native 的 package.json/锁文件、Flutter 的 pubspec.yaml/pubspec.lock、Xamarin 的 .csproj 与 NuGet 包。检查含已知 CVE 的过时依赖、两年以上未更新的失维依赖以及来自不受信任仓库的依赖。
- 输入校验分析。按注入模式排查：SQL 注入（rawQuery、execSQL、sqlite3_exec 等未参数化查询）、路径穿越（用户可控路径与 ../ 处理、路径规范化与白名单）、JavaScript 注入（loadUrl("javascript:")、evaluateJavascript 传入用户数据）、Intent 注入、格式化字符串、反序列化（ObjectInputStream、Serializable、Parcelable、NSKeyedUnarchiver、JSONDecoder）、XXE 与日志注入。
- MASTG 测试映射，包括 MASTG-TEST-0025 注入缺陷、0026 WebView URL 加载、0036 对象持久化、0222 过时第三方依赖、0245 输入校验问题、0272 最低 SDK 版本检查、0274 强制应用更新机制。
使用方式：将待审计代码库路径作为参数传入；未提供路径时审计当前工作目录。技能按上述步骤执行审计并输出结构化报告。
适用场景：移动应用发布前安全评审、供应链依赖风险排查、MASVS-CODE 合规检查，以及 Android、iOS 与跨平台（React Native、Flutter、Xamarin）项目。
限制：仅依据代码与依赖文件进行静态检查；具体 CVE 与依赖维护状态需以实际核查结果为准；技能本身不提供自动修复；收费、价格等信息暂未提供。