用途：security-scan 用于在创建 PR 之前对改动做一次安全审查，把常见安全问题提前暴露，避免在代码评审甚至生产环境才被发现。
主要能力：扫描 API 密钥、令牌、密码等硬编码密钥，检查源码、配置文件和 .env，并查看 git 历史；用 dotnet list package --vulnerable、npm audit 等检查依赖漏洞并对照 CVE；检查 API 端点与模型的输入校验（如 Required、Range）；查找 SQL 注入（字符串拼接、参数化查询、原始 SQL）；检查 XSS（输出编码、CSP、@Html.Raw()）；核对 [Authorize] 属性、JWT 配置与授权绕过；检查日志中的 PII。结果按严重程度分类，给出具体修复建议，关键问题会阻止 PR。
使用方式：在智能体中激活该技能后，可用“Run security scan before PR”“Check for security vulnerabilities”“Are there any hardcoded secrets?”等提示触发；报告会列出问题文件与行号、修复建议，并可执行“Apply security fixes”尝试自动修复。
适用场景：提交 PR 前的预检、提交前安全检查、改动安全扫描。
限制：资料未提供安装命令、具体平台支持范围、收费与价格信息；示例以 .NET/C# 为主，其他语言支持情况暂未提供。