用途：对应用代码执行系统化安全审计，识别漏洞、硬编码密钥、不安全配置与合规缺口，并输出带严重级别与修复建议的发现报告。
主要能力：分阶段检查。阶段1扫描密钥，覆盖 API Key、访问令牌、AWS 凭证、私钥、数据库连接串、JWT 密钥、通用密码等模式，并检查 .env、配置文件、Docker、CI/CD、IaC 及 .gitignore 覆盖。阶段2检查认证与授权，包括密码哈希、会话与 JWT、MFA、锁定与限流、密码重置，以及端点授权、服务端校验、资源级访问控制、IDOR。阶段3检查输入验证与注入，覆盖 SQL 注入、XSS、命令注入、LDAP、XXE、反序列化、模板注入。阶段4检查数据保护：传输 TLS、静态加密、日志脱敏、响应与错误信息、数据保留。阶段5检查配置与基础设施：CORS、CSRF、安全响应头、限流、依赖漏洞、调试模式、默认凭证。阶段6做依赖分析，运行 npm audit、pip-audit 等并检查锁文件。阶段7生成 SBOM（CycloneDX 或 SPDX）、做许可证合规与供应链审查，含拼写仿冒、维护者活跃度、已知供应链攻击模式。
使用方式：作为技能在代码库中调用，按上述阶段执行扫描与人工核查，最终以表格输出发现项，字段含类别、发现、严重级别、CVSS、文件:行号、修复建议，并附风险评级、三项最高优先级修复、正面发现与长期建议。严重级别按 CVSS 分为 Critical、High、Medium、Low、Info。
适用场景：上线前安全评审、代码库密钥泄露排查、依赖与许可证合规检查、SBOM 生成与供应链风险审查。
限制：资料未提供具体安装命令、运行环境、支持语言范围、收费方式与效果保证；部分检查依赖人工判断，需结合项目实际配置使用。