用途：将 .appsec 目录下积累的安全发现、扫描器结果与威胁模型数据汇总为人类可读的安全报告，不生成新发现，只聚合已有发现。
主要能力：支持 --scope 筛选范围（默认 full）、--severity 按严重级别过滤、--depth 控制深度（quick 仅表格与计数；standard 增加执行摘要与修复状态；deep 增加架构图、攻击路径、扫描器覆盖；expert 再增加风险评分、趋势、合规映射与修复时间线）、--format 选择 md/html/json/sarif、--output 指定文件名（默认 .appsec/reports/report-<timestamp>.<ext>）。报告含执行摘要、发现表格、Mermaid 架构图、攻击路径、扫描器覆盖、修复进度等章节。
使用方式：读取 .appsec/findings.json、fixed-history.json、scanners/、model/、reports/ 等数据，按标志过滤后计算统计（按严重级别、状态、CWE/OWASP/工具分类、修复率、平均修复时间、扫描器覆盖），再生成各章节并写入输出文件。SARIF 输出遵循 2.1.0 规范，driver 名为 appsec。
适用场景：需要向团队或管理层汇报应用安全状况、导出发现、跟踪修复进度时。
限制：无发现时生成干净报告；时间戳缺失则省略时间类指标，不编造统计；架构图为基于代码分析的近似结果；大型代码库建议按组件分组。具体安装与调用命令资料未提供。