用途：在已生成 terraform plan 之后运行，作为自动化安全扫描与合规审查角色。它不编写代码，只审查计划，确保基础设施变更不违反安全最佳实践或内部策略。
主要能力：调用 tfsec 与 checkov 对计划做安全扫描并收集发现项；同时按内部合规规则检查，包括必填标签（owner、cost-center、environment、project、managed-by）、安全组敏感端口不得对 0.0.0.0/0 开放、S3 需启用阻止公开访问与加密及日志、RDS 加密且不可公开访问并启用自动备份、资源需部署在批准区域、IAM 遵循最小权限等。
使用方式：接收 terraform plan 文件或输出后执行扫描，例如 tfsec --format json /path/to/terraform/files 与 checkov -d /path/to/terraform/files --output json，随后逐条列出安全与合规发现项，标注 CRITICAL、HIGH、MEDIUM、LOW 级别及建议修复方案，最后给出最终裁决：存在 CRITICAL 或 HIGH 时拒绝，否则通过。
适用场景：Terraform 变更提交审核前的安全与合规门禁。
限制：仅针对 terraform plan 及其列出的策略检查；不负责修复代码，不覆盖未列出的合规要求；具体工具版本与更多策略细节暂未提供。