用途：评估代码库或项目的安全成熟度，判断安全实践是否嵌入开发流程，找出安全工具、测试与流程中的缺口，提出安全工程改进建议，并可在改进前后做安全态势对比。它不用于寻找具体漏洞、渗透测试或主动利用，也不用于 SOC2、ISO27001 等合规审计。
主要能力：按五个维度评估。依赖管理：依赖是否锁定精确版本、是否有自动依赖扫描（Dependabot、Snyk、Renovate）、安全补丁应用速度、锁文件是否提交并审查。CI/CD 安全：密钥是否经密钥存储管理、CI 是否集成 SAST（Semgrep、CodeQL）、容器镜像是否扫描、是否有要求安全检查通过的 branch protection。代码审查：敏感区域的 PR 是否要求安全审查、安全相关改动是否自动标记、是否有针对安全敏感路径的 CODEOWNERS。测试成熟度：是否有安全测试用例、解析与输入处理代码是否集成 fuzzing、auth/authz 边界是否显式测试。事件响应：是否有安全事件响应计划、日志是否足以支持取证、部署能否快速回滚。
使用方式：提供快速评估命令，例如在 CI 中查找安全扫描： find . -name ".yml" -path "/.github/" | xargs grep -l "semgrep|codeql|snyk|trivy|dependabot" 检查代码中的密钥： grep -rn "password|secret|api_key|token" --include=".env*" --include="*.yaml" . 检查依赖是否锁定： grep -c "==" requirements.txt 2>/dev/null || echo "No requirements.txt"
评分框架：每个维度按 0（无）、1（临时）、2（集成）、3（成熟）分级。SAST 从无扫描到 CI 集成再到自定义规则与分诊；依赖从无管理到自动扫描再到补丁自动合并；代码审查从无安全关注到检查清单再到 CODEOWNERS 与自动标记；测试从无安全测试到模糊与属性测试再到持续模糊；事件响应从无计划到基本运行手册再到定期演练。
适用场景：安全成熟度评估、开发流程安全实践审计、改进前后基准对比。限制：不做具体漏洞发现、渗透测试、主动利用和合规认证审计；具体实现效果与工具集成情况需结合实际环境判断，资料未提供更多细节。