用途：对代码仓库执行完整安全扫描，构建调用图（call graph）分析漏洞是否真正可被利用，用于发布前检查与安全审查。相比快速扫描（秒级、仅按严重度排序），完整扫描耗时数分钟，提供完整调用图与调用路径，按严重度加可达性排序。
主要能力：扫描类型包括 vulnerabilities、dependencies、secrets、sast；输出可达性标签并按优先级分类：P0（REACHABLE_DEPENDENCY + REACHABLE_FUNCTION，可立即利用）、P1（POTENTIALLY_REACHABLE_FUNCTION，需验证）、P2（UNREACHABLE_FUNCTION，依赖被用但漏洞函数未被调用）、P3（均不可达，最低风险）、P4（PHANTOM，未安装）。
使用方式：先检查缓存 .endor/scan-full-results.json（相对仓库根目录）。有缓存则展示时间戳并询问是否复用，除非用户明确要求重新扫描。无缓存则检测语言与清单文件，提示完整分析通常需 2-5 分钟，然后调用 scan MCP 工具，参数 path 为仓库根绝对路径，scan_types 为上述四项，scan_options 为 {"quick_scan": false}。仅在 MCP 确实不可用时使用 CLI 回退：npx -y endorctl scan --path <ABSOLUTE_PATH> --dependencies --sast --secrets --output-type json 2>/dev/null > /tmp/endor-full.json。成功后立即将原始结果写入缓存，必要时创建 .endor/，并把 .endor/ 加入 .gitignore；随后通过 get_resource（resource_type: Finding）获取各 finding UUID 详情追加到 finding_details。失败时不写缓存并报告确切错误。后续问题读缓存而非重扫。
适用场景：发布前、安全评审、需要判断漏洞可利用性的排查。限制：完整扫描较慢；构建失败需先修复或改用 /endor-scan；超时可扫描子目录；认证错误需浏览器登录或 /endor-setup；未知错误建议 /endor-troubleshoot。可达性标签与数据源策略需读取 references/reachability-tags.md 与 references/data-sources.md。