用途：自动化安全漏洞检测，覆盖 OWASP Top 10 类别，包括 SQL 注入、XSS、CSRF、失效认证与敏感数据暴露。结合静态分析（Semgrep、Bandit、ESLint 安全插件）与动态测试模式（输入模糊测试、头部校验、认证绕过检查）。
主要能力：依赖漏洞扫描（npm audit、pip-audit、trivy）识别已知 CVE；SAST 扫描源码（semgrep --config=p/owasp-top-ten）；用 gitleaks 或 trufflehog 扫描硬编码密钥；分析注入漏洞（SQL 字符串拼接、innerHTML/eval/exec、命令注入）；校验认证与授权（bcrypt/scrypt/Argon2 哈希、JWT 声明、端点授权检查）；测试 CSRF、CORS 与安全响应头；生成含 CVSS 评分、文件行号、修复步骤的优先级报告，并创建回归测试。
使用方式：需先安装静态分析工具，应用运行于测试环境，并取得书面授权；可选 OWASP ZAP 或 Burp Suite 做动态测试。示例命令：semgrep --config=p/owasp-top-ten --json --output=security-results.json .；gitleaks detect --source=. --report-format=json --report-path=secrets-report.json。
适用场景：代码库安全审计、CI 安全门禁、修复后回归验证。
限制：切勿在未获明确授权时扫描生产环境；存在误报（如 ORM 参数化查询被误判），需用 nosemgrep 注释或调优规则；密钥扫描可能误报测试夹具，可加入 .gitleaksignore；依赖审计结果可能过多，建议先过滤直接依赖并聚焦严重/高危；动态扫描需应用可访问且注意限流。具体收费、价格与平台支持暂未提供。