用途：分析源代码中的信息泄露威胁，即敏感数据泄露给未授权方，对应 STRIDE 模型中的 I（Confidentiality 违反）。
主要能力：按范围筛选可能处理敏感数据的文件（API 响应构建与序列化、错误处理与异常中间件、日志配置与输出、返回用户数据的数据库查询、配置与环境加载、调试/诊断端点与健康检查、文件服务路由与静态资源、前端模板与服务端渲染、GraphQL schema 与 resolver）。检查项包括：详细错误信息（堆栈、SQL、内部路径、库版本）、API 返回过多字段（SELECT *、toJSON、serialize 未做字段白名单）、日志中的敏感数据、生产环境调试端点、读取路径的目录遍历、敏感数据未加密、源码硬编码密钥、泄露技术栈的 HTTP 头、时序侧信道、客户端数据暴露、详细健康/状态端点、生产环境 source map。
使用方式：支持 --scope、--depth、--severity、--format、--fix、--quiet、--explain 等标志。standard 深度逐文件检查数据暴露模式；deep 深度追踪从数据库/存储经处理到 API 响应的数据流，确认敏感字段在跨信任边界前被过滤。发现项使用 DISC 前缀（如 DISC-001），references.stride 设为 "I"，并关联 CWE-200、CWE-209、CWE-532、CWE-22、CWE-215、CWE-312、CWE-319、CWE-548 等。严重级别分 critical、high、medium、low。
适用场景：代码安全审计、数据泄露风险分析、数据暴露漏洞排查。
限制：开发环境中的调试模式属预期，仅在无环境隔离或生产配置中出现时才标记；SELECT * 本身不一定是泄露风险，取决于结果是否被序列化到响应；生产 source map 属权衡项，除非含硬编码密钥或敏感业务逻辑否则评为低；技术栈头单独看为低危。具体安装与调用命令资料未提供。