用途：面向 Snyk 驱动的安全工作，运行 SAST/SCA 扫描、审查发现、分级范围，并在修复前产出经批准的修复计划。流程以关卡（gate）驱动，避免在范围或可接受风险未明确时擅自修复。
主要能力：先做仓库资格检查（读取 ~/.ways/config.yaml 黑名单，命中则询问是否例外或停止）；Phase 0 收集扫描上下文，调用 snyk_trust、snyk_code_scan、snyk_sca_scan（severity_threshold: low，SCA 加 all_projects: true）；Phase 1 以 Markdown 表格报告发现（类型、严重度、标题、文件/包、CWE/CVE、影响、是否有修复）；Gate 1 由用户确认要修复的严重度范围；随后选择隔离方式（当前检出分支或独立 worktree），用 .ways/state.json 跟踪状态；Phase 2 写 FINDINGS.md，Phase 3 写 PLAN.md，Gate 2 批准计划后才实施；Phase 4 逐个修复并运行 pnpm typecheck && pnpm lint && pnpm test；Phase 5 重新扫描并写 RESOLUTION.md，Gate 3 签核；Phase 6 经 fix/security-{slug} → develop → main 两个 PR 集成。
使用方式：需先安装并配置 Snyk 及对应 MCP 工具；若工具不可用或失败，须在 Gate 1 前停止并报告，不得编造发现。分支命令如 git switch -c fix/security-{slug}，worktree 命令如 git worktree add .worktrees/security-{slug} -b fix/security-{slug} origin/develop。提交建议通过 incu-way-prepare-pr 完成，不自行提交或推送。
适用场景：需要对 Snyk 发现的漏洞做审查、分级或修复的代码仓库。
限制：不得在 Gate 2 前应用修复；不得修复范围外发现；不得跳过 Phase 5 重扫；不得直接合并；不得未经指示用 .snyk ignore 抑制发现。具体收费、平台支持等信息暂未提供。