用途：按代码安全规范检查三类问题——源码/配置泄露、硬编码凭据、依赖组件 CVE，并给出可复验的修复或缓解计划。核心原则是源码与配置不得暴露到公共网络。
主要能力：代码泄露检查要求 Git 使用 SSH 或 HTTPS 加凭据，禁止 http 明文；源码不得公开发布，注意 AI 工具代码泄露风险。配置泄露检查要求数据库密码、Api Key、存储密钥不进仓库，改用环境变量；前端用 .env.local 并 gitignore，后端放配置中心并加密存储。CVE 检查要求前后端定期扫描依赖，无中等风险以上漏洞才算通过。
使用方式：统一入口为 codeguard cve（自动检测 maven/node/python/rust 生态并扫描），支持 --fix 与 --severity MEDIUM；Rust 引擎用位置参数选生态且无这两个参数，对质量路径返回退出码 3，不能据此签发无漏洞结论：codeguard cve typescript [path]。各生态原生命令：mvn org.owasp:dependency-check-maven:check -DfailBuildOnCVSS=7；npm audit --audit-level=high 与 npm audit fix；trivy fs --scanners vuln --severity HIGH,CRITICAL .。修复可查看可升级依赖 mvn versions:display-dependency-updates。
适用场景：发布前安全门禁、代码与配置泄露排查、依赖 CVE 扫描与修复。
限制：越权/鉴权/文件上传属其他安全技能；加密存储/脱敏不在此范围。发现凭据只报告类型与位置，不回显完整值；删除当前文件不代表 Git 历史等副本消失；base64 不是加密；前端环境变量会进浏览器包。工具缺失的生态按提示安装，其他细节暂未提供。