用途：该技能面向安全扫描场景，覆盖项目目录 CVE 扫描、容器镜像部署前扫描、Terraform/CloudFormation 等 IaC 配置错误检查、Shell 脚本静态分析与 lint，以及 YAML/JSON 配置中密钥的加解密。
主要能力：Trivy 用于扫描文件系统、容器镜像和 IaC，支持 --format json 或 --format sarif 结构化输出；ShellCheck 用于 Shell 脚本静态分析与 lint，支持 -f json；sops 用于加密/解密 YAML、JSON、ENV 文件中的密钥，解密结果输出到 stdout。
使用方式：扫描项目目录可执行 trivy fs --format json --output results.json .，仅看高危可加 --severity HIGH,CRITICAL；扫描镜像用 trivy image --format json --output scan.json nginx:latest；扫描 Terraform 用 trivy config --format json .；生成 SARIF 报告用 trivy fs --format sarif --output report.sarif .。ShellCheck 可用 shellcheck -f json script.sh，或 shellcheck -S warning -f json script.sh 设置严重级别。sops 可加密（--encrypt --age）、解密（--decrypt）、就地编辑及用 --extract 提取单个值。还可与 jq 组合，筛选 CRITICAL 漏洞、按级别统计 ShellCheck 问题，或在发现严重漏洞时让命令以非零状态退出。
适用场景：CI 集成、部署前镜像检查、依赖与锁文件安全检查、IaC 配置审计、Shell 脚本质量把关、密钥加密存储。
限制：这些工具只能发现已知 CVE 和脚本缺陷，无法审查业务逻辑或应用设计缺陷；不用于 Python lint（应使用 Ruff）或 JavaScript/TypeScript lint（应使用 ESLint 或 Biome）；运行时密钥管理应使用 Vault 或环境变量。具体安装方式与版本要求资料未提供。