用途：识别和修复“不安全默认值”安全反模式（CWE-1188，严重级别 Critical）。该问题指应用在缺少必需配置时，仍以弱默认值或回退值继续运行，形成 fail-open 条件，使攻击者可能利用默认密钥伪造凭证或绕过安全控制，且仅在配置错误的部署中触发。
主要能力：对比 fail-open（配置缺失时用默认值，造成静默安全绕过）与 fail-secure（配置缺失时崩溃，使部署安全失败）；给出 Python、Node.js、Go、Java/Spring Boot 的坏例与好例，覆盖密钥默认值、调试模式默认开启、弱 JWT 算法回退、宽松 CORS、会话密钥默认、限流失效等；提供 ripgrep 检测命令，如 rg 'environ.get([^)]+,\s*["'][^"']+["']' --type py、rg 'process.env.\w+\s*||' --type js --type ts、rg 'getEnv.Default|Getenv.""' --type go 及通用默认串搜索；列出应忽略的非漏洞场景与预防措施。
使用方式：在代码审查中针对配置加载与安全设置代码运行上述检测命令，判断是否对安全关键配置提供了回退默认值；若是，改为启动时强制校验并在缺失时立即退出。
适用场景：Web 服务、API、鉴权与会话系统、CORS 与调试开关、密钥管理的代码审计。
限制：文档为审查指南而非自动化工具说明；文中未提供安装方式、价格、平台支持或性能指标，也未给出完整可运行工具链，相关事实暂未提供。