用途：分析 REST 与 RPC API 的安全漏洞，对齐 OWASP API Security Top 10（2023），覆盖 BOLA（对象级授权失效）、批量赋值、缺失限流、功能级授权失效、过度数据暴露等 API 特有风险。
主要能力：支持 --scope 指定分析文件（默认 changed）、--depth standard 读取代码并检查端点处理器、--depth deep 追踪请求到数据库再到响应序列化的数据流、--severity 过滤输出。涉及 CWE-639、CWE-915、CWE-770、CWE-862、CWE-200。
使用方式：先确定范围，过滤路由、控制器、序列化器、中间件、限流配置等文件；检测可用扫描器（semgrep、bandit、brakeman）；可用时运行 semgrep scan --config auto --json --quiet <target>，bandit -r <target> -f json -q，brakeman -q -f json -o /dev/stdout；无论扫描器是否可用都进行人工代码分析，包括 BOLA 审计、批量赋值、限流、功能级授权、过度数据暴露检查。
输出：按 findings schema 以 API 前缀编号（如 API-001），含严重度、置信度、文件位置与代码片段、OWASP API Top 10 与 CWE 引用、修复建议。
限制：无扫描器时改用 Grep 模式匹配，置信度标为 medium；具体规则与误报指引见 references/detection-patterns.md，标志规范见 shared/schemas/flags.md。