用途：在用户要求检查 WebSocket 安全、分析 WebSocket 认证、查找 WebSocket 漏洞或审计相关实现时使用，分析 WebSocket 实现中的安全缺陷。
主要能力：检查升级握手阶段是否缺少认证；检查是否校验 Origin 头以防跨站 WebSocket 劫持（CSWSH）；检查传入消息是否按 schema 或类型校验；检查是否存在按连接或按消息的速率限制；检查生产环境是否使用加密的 wss:// 而非 ws://；检查敏感操作是否按消息类型做授权。涉及 CWE-287、CWE-346、CWE-20、CWE-770、CWE-319。
使用方式：支持 --scope 确定分析文件（默认 changed）、--depth standard/deep、--severity 过滤输出等标志。流程为：确定范围并筛选可能含 WebSocket 逻辑的文件（如 ws/、websocket/、socket/、Socket.IO/ws 配置、消息处理器、升级中间件、客户端代码）；检测可用扫描器；若有 semgrep 则运行 semgrep scan --config auto --json --quiet <target>；无论有无扫描器都进行手动代码分析；--depth deep 时追踪完整消息流、广播授权与重连认证。报告使用 WS 前缀（如 WS-001、WS-002），包含严重性、置信度、文件位置与代码片段、攻击场景、修复建议和 CWE 引用。
限制：WebSocket 专用扫描器稀少，多数分析依赖代码审查；无扫描器时用 Grep 按检测模式查找，结论置信度为 medium。严重性分级为 critical（敏感 API 升级无认证、已认证端点 CSWSH）、high（Cookie 认证端点缺少 Origin 校验、无消息校验）、medium（无速率限制、生产环境 ws://）、low（Origin 允许列表过宽、缺少二次校验）。