用途：对指定代码库执行以安全为核心的代码审查，借助 security-agent 插件扫描源码中的常见漏洞模式，并生成按严重程度分级的结构化报告与修复建议。
主要能力：扫描硬编码密钥与凭据（API key、token、密码、AWS 访问密钥 AKIA...、私钥头 BEGIN PRIVATE KEY），标记含明文密钥的 .env 或配置文件；分析注入类漏洞，包括原始 SQL 字符串拼接、未净化用户输入渲染到 HTML、eval()/exec()/Function() 动态输入；审查认证与授权逻辑，如密码哈希是否使用 bcrypt/argon2 而非 MD5/SHA1、敏感端点是否缺少认证、CORS 是否过于宽松；审计依赖漏洞，运行 npm audit 或等价命令并对照 CVE 数据库；检查不安全通信模式，如应使用 HTTPS 却用 HTTP、禁用 TLS 证书校验；最终按 Critical/High/Medium/Low 汇总，含文件路径、行号、漏洞类型、代码片段、说明与修复步骤，并给出整体风险评估。
使用方式：先确定审查范围（文件、目录或整个代码库）并确认语言与框架；需对目标项目源码有读权限、PATH 中有 grep、可访问 package.json 或等价依赖清单，并熟悉 OWASP Top 10。按上述类别逐项扫描后汇总报告。
适用场景：提交前安全自查、依赖漏洞排查、SQL 注入等专项审查、全代码库安全审计。
限制：依赖 grep 模式匹配，可能产生误报（如测试夹具或文档中的良性字符串）；二进制文件需排除，node_modules/ 应跳过；缺少依赖清单时无法做依赖审计，需在报告中注明；文件权限受限时需申请读权限或缩小范围。具体安装与调用命令资料未提供。