用途：Microsoft Application Inspector 用于技术栈画像与安全相关代码模式检测，常见于审计前侦察、理解代码库能力、识别认证、加密、日志、敏感 API 与安全控制的使用。它识别的是模式而非漏洞。
主要能力：可按类别检测模式，包括认证（OAuth、JWT、会话管理、口令处理）、加密（AES、RSA、哈希、密钥派生、随机数生成）、授权（RBAC、ACL、权限检查、策略执行）、PII（邮箱、SSN、信用卡、电话）、凭据（API 密钥、密码、令牌、证书）、云服务（AWS、Azure、GCP）、框架、数据库等；输出 Severity 分为 Critical、Important、Moderate、ManualReview、BestPractice。支持自定义规则（JSON，含 name、id、description、tags、severity、patterns）。
使用方式：安装 dotnet tool install --global Microsoft.CST.ApplicationInspector.CLI，升级 dotnet tool update --global Microsoft.CST.ApplicationInspector.CLI，验证 appinspector --version。Docker 可执行 docker pull mcr.microsoft.com/app-inspector 与 docker run -v ${PWD}:/app mcr.microsoft.com/app-inspector analyze -s /app -f sarif -o /app/results.sarif。常用命令如 appinspector analyze -s /path/to/code -f html -o report.html、appinspector analyze -s /path/to/code -f json -o results.json、使用 --output-file-format sarif --output-file-path results.sarif 输出 SARIF。可用 -t 指定标签、-e 排除路径、--single-threaded 提升稳定性、--file-timeout 调整超时、--disable-archive-crawling 加速，并可用 verify-rules 校验规则、exportrules 导出默认规则。可集成 GitHub Actions 并用 upload-sarif 上传结果。
适用场景：审计前技术发现、安全特性清点、合规扫描（PII、凭据）、软件成分报告。
限制：不是漏洞扫描器，仅识别模式；正则检测存在误报；大型代码库可能需要单线程模式；对常见语言覆盖更好；不具备数据流分析能力。