用途：按既定安全规则集对代码做逐控制项的人工验证，覆盖整个仓库、某个模块或当前分支的改动（git diff develop...HEAD），产出可追溯的合规报告。它与 snyk-remediation 不同：后者运行自动化 SAST/SCA 扫描并修复告警，本流程是人工逐项对照标准，能发现扫描器遗漏的设计与逻辑问题（访问控制缺陷、不安全业务流、缺失授权检查、弱加密选择），并给出通过/失败判定与证据。两者可同时运行以获得完整覆盖。本流程只评估，默认不修复，具体修复交由 incu-way-development、incu-way-bugs 或 snyk-remediation。
主要能力：支持 OWASP Top 10 (2021)、OWASP API Security Top 10 (2023)、OWASP ASVS（L1/L2/L3）、CWE Top 25；每个控制项给出 Pass/Fail/N/A/Needs review 判定，Pass 需引用实现代码（path:line），Fail 需引用脆弱代码并说明攻击者影响与 CWE，N/A 需说明原因；无证据不得判为 Pass，只能标为 Needs review。报告含范围、汇总计数、按规则集的控制清单表、详细发现表、Needs review 与超出范围项。
使用方式：两种调用模式。独立模式：先检查 ~/.ways/config.yaml 黑名单，再确认目标与规则集，经 Gate 1 用户确认后，在 assess/secval-{slug} 分支或 .worktrees/ 下的独立 worktree 中工作，最后建议用 incu-way-prepare-pr 提交 PR 到 develop。嵌入模式：写入调用方当前分支/worktree，报告随该流程的 PR 一起提交，不单独建分支或 PR。{slug} 格式为 {YYYY-MM-DD}-{kebab-target}。
适用场景：需要按标准做安全合规审查、补充扫描器覆盖、为功能开发中的新代码做安全门禁时。
限制：不维护 .ways/state.json；不实现修复；独立模式不得直接写入 develop 或 main；嵌入模式不得另开 PR；未确认范围与规则集前不得产出验证结果。