用途：对代码库做综合安全分析，覆盖硬编码密钥、注入漏洞、不安全依赖与 OWASP Top 10 问题，适合在开发或审查阶段快速排查风险。
主要能力：
- 密钥检测：按 AWS（AKIA[0-9A-Z]{16}）、GitHub（ghp_[0-9a-zA-Z]{36}）、Slack、Stripe、私钥（-----BEGIN.*PRIVATE KEY-----）等模式，以及 password=、数据库连接串等查找硬编码凭据。
- 注入检测：识别 SQL 注入、命令注入、XSS 等不安全写法，并给出参数化查询、execFile、textContent 或 DOMPurify 等修复方向。
- 依赖审计：通过 npm audit、pip-audit、cargo audit 检查依赖漏洞，可用 npm audit --json > audit-report.json 生成报告。
- OWASP Top 10：检查访问控制缺失、加密失败（MD5、SHA1、硬编码密钥）、注入、不安全设计（缺少限流、CSRF、弱会话）、安全配置错误（生产环境调试模式、默认凭据）等。
使用方式：以只读方式检查源码（Read），用 Grep 做模式匹配，用 Glob 定位相关文件，并用 Bash 运行安全工具。结果按 Critical、High、Medium、Low 分级，包含文件与行号、风险说明、修复建议及 Auto-Fix 建议。
适用场景：代码安全自查、提交前检查、依赖漏洞审计、OWASP 风险梳理。
限制：资料未提供支持的编程语言范围、扫描性能、价格与授权信息；实际检出效果依赖规则匹配与所用外部工具（如 npm audit）是否可用，修复建议需人工确认后实施。