用途：在用户要求“映射数据流”“追踪数据在系统中的流动”“识别信任边界”等场景时，追踪数据从输入到存储再到输出的路径，梳理信任边界跨越、加解密点、序列化步骤和数据转换操作，产出带安全注解的数据流图。
主要能力：按步骤解析范围、识别数据来源（HTTP 请求、数据库读取、外部 API、消息队列、文件系统、环境变量、用户会话等）与数据汇（数据库写入、HTTP 响应、外部 API、消息队列、文件写入、日志、浏览器渲染、邮件/短信等）；追踪变量路径与转换（校验、净化、加解密、序列化、聚合、脱敏）；标记信任边界；对每个节点注解加密、校验、净化、日志、访问控制、敏感数据等属性；识别流程缺陷（缺失校验/加密、日志含敏感数据、不可信数据反序列化、边界违规、输出前未净化、数据留存问题、隐式信任等）；生成 Mermaid 数据流图；输出带 FLOW 前缀编号的发现（关联 CWE-319、312、532、502）。
使用方式：支持 --scope（默认 full）、--depth（quick/standard/deep/expert）、--format（默认 text，可选 md 生成 Mermaid 图、json 结构化图）。完整标志规范见 ../../shared/schemas/flags.md，发现格式见 ../../shared/schemas/findings.md，元数据 tool 为 "data-flows"。
适用场景：面向凭证、PII、金融、健康等敏感数据流的应用安全审查与边界分析。
限制：公开数据经 HTTPS 提供无需强制加密；受信网络或服务网格内的服务间调用优先级低于互联网面向的流程；日志脱敏严重程度取决于日志访问控制；quick 深度下高层来源到数据汇的映射比详尽中间追踪更有用。其余未在资料中说明的内容暂未提供。