用途：对代码库执行快速安全扫描，聚焦 OWASP Top 10 常见漏洞，适合在开发或提交前做初步排查。
主要能力：
- 密钥扫描：用 grep 查找 password、secret、api_key、token 等硬编码凭据，检查 .env 文件是否被提交及是否写入 .gitignore。
- 注入检查：识别 SQL 字符串拼接、f-string 查询、exec/spawn/system 等命令注入模式。
- XSS 检查：查找 innerHTML、dangerouslySetInnerHTML、v-html 及 HTML 上下文中的未转义模板字符串。
- 依赖检查：对 package-lock.json 运行 npm audit，并用 npm outdated 查看过时依赖。
- 认证与会话：查找硬编码 JWT secret，以及缺少 CSRF 防护的 POST/PUT/DELETE/PATCH 请求。
使用方式： 完整审计：/security 聚焦特定领域：/security auth、/security deps、/security injection 指定文件或目录：/security src/api/
输出为分级报告，按 Critical、High、Medium 分类列出问题位置与修复建议，并给出摘要和优先修复项。严重级别示例：硬编码生产密钥、SQL 注入为 Critical；缺失认证、XSS 为 High；过时依赖、缺少 CSRF 为 Medium。
限制：这是启发式快速扫描，并非完整安全审计；可能存在误报，需人工核实。生产系统应配合 Snyk、SonarQube、OWASP ZAP 等专用工具。自动化提交前检查可参考 examples/hooks/security-hooks.sh。