用途：作为 IaC 静态分析的精简路由器，为不同技术栈选择合适工作流，并行运行扫描器，将结果聚合到 schemas/finding.json，并在需要时通过策略即代码循环编写 Rego 策略。
主要能力：扫描 Terraform .tf/plan JSON、CloudFormation 模板、Kubernetes 清单（含渲染后的 Helm/kustomize）、Helm Chart、ARM/Bicep 模板；验证 CIS 基准合规；集成到 PR 门禁或 pre-commit；编写自定义 OPA/Rego 策略。
使用方式：按文件类型选择工作流（terraform_scan、cloudformation_scan、kubernetes_manifest_scan、policy_as_code_loop）。可并行的组合包括同一 Terraform 目录上的 Checkov+tfsec+Terrascan，K8s 清单上的 kubesec+kube-linter+Polaris+Checkov。必须顺序执行的包括 terraform init/plan/show -json 先于基于 plan 的扫描，helm template/kustomize build 先于清单扫描，cfn-lint 错误门禁先于 CFN 安全扫描，聚合去重在所有扫描之后。快速命令示例：checkov -d . --framework terraform -o json；tfsec . --format json；cfn-lint templates/*.yaml && checkov -d templates/ --framework cloudformation；kube-linter lint ./k8s --format json；helm template myrel ./chart -f values-prod.yaml | checkov -f - --framework kubernetes；conftest test <target> -p policy/。
适用场景：IaC 配置错误审计、合规检查、CI/CD 门禁、自定义组织策略。
限制：不适用于运行时云评估（用 cloud-security）、容器镜像 CVE 与运行时准入（用 container-security）、代码库密钥发现（用 secrets-scanning）、应用源码 SAST（用 code-security/sast）、与已部署状态的漂移检测。工具安装命令如 pip install checkov、brew install tfsec 等保持原样。最低版本要求：Checkov ≥ 3.0、tfsec ≥ 1.28、Terrascan ≥ 1.19、Conftest ≥ 0.50、OPA ≥ 0.62、kube-linter ≥ 0.6、Polaris ≥ 9.0、cfn-lint ≥ 1.0、Trivy ≥ 0.50。最后验证时间 2026-04。