Security Scanner 是一款面向代码与基础设施的安全扫描工具，属于 jmsktm/claude-settings 项目的一部分。其目标是通过系统化的安全分析，在漏洞演变为安全事件之前识别问题。
用途方面，该工具主要用于两类场景：对代码进行安全扫描，以及对基础设施进行安全审计。它关注的核心是发现安全漏洞与合规问题，而非单纯的代码质量检查。
主要能力分为两条工作流。工作流一为代码安全扫描，包含：SAST 静态应用安全测试、依赖检查（扫描存在漏洞的依赖）、密钥检测（查找硬编码凭据）、OWASP 检查（对照 OWASP Top 10）以及生成发现报告。工作流二为基础设施安全，包含：配置审计（检查安全设置）、网络扫描（识别暴露的服务）、访问审查（审计权限与 IAM）、合规检查（对照相关标准）以及修复计划（对问题进行优先级排序并修复）。
使用方式上，该工具通过自然语言指令触发。例如：执行代码扫描可输入“Run security scan on [repo]”；检查依赖可输入“Scan for vulnerable dependencies”；审计基础设施可输入“Security audit [environment]”。具体命令与集成方式以官方说明为准。
适用场景包括：在开发流程中引入安全扫描以尽早发现漏洞；对项目依赖进行漏洞排查；检测代码中是否意外提交凭据；对照 OWASP Top 10 评估 Web 应用安全；对特定环境进行基础设施配置与权限审计；以及满足合规要求时的标准核查。
限制方面，当前资料未提供其支持的编程语言、运行平台、集成方式、扫描性能、定价模式或具体合规标准清单。使用前建议确认其覆盖范围与自身技术栈是否匹配。