用途：对代码进行 PCI-DSS v4.0 合规静态分析，适用于处理持卡人数据、支付流程、卡号存储与传输的代码审查，也可用于准备 SAQ 或 RoC 前的自查。
主要能力：覆盖 JavaScript/TypeScript、Python、Java、Go、C#/.NET，识别 12 类代码级反模式，包括明文记录 PAN、卡数据放入 URL 参数、弱加密存储卡数据、支付操作缺少审计日志、硬编码支付网关凭据、卡号缺少输入校验等；每项发现映射 CWE 与 PCI-DSS v4.0 条款号，并给出 UNSAFE/SAFE 代码对照与修复建议。
使用方式：无需安装外部工具，纯代码分析。先确认目标是否在 PCI-DSS 范围内（文件名、目录、支付 SDK 导入、cardNumber/pan/cvv 等引用）；不在范围内应拒绝并建议改用 crypto-audit、bandit-sast 或 security-review。随后识别项目语言，定位支付相关文件，逐项执行 12 项检查，按严重级别去重排序并生成报告，最后汇总总数、严重级别分布与前三项修复优先级。
适用场景：审查存储、处理或传输持卡人数据的代码；PR 修改支付处理、卡存储或结账流程；排查日志中的卡数据、PAN 掩码、支付加密与审计日志问题。
限制：仅覆盖应用代码层控制，不审计基础设施、网络分段、物理安全或组织政策；不适用于通用加密审查、IaC 配置审计或运行时扫描。涉及 Dockerfile、容器安全、网络分段或非支付相关加密审查时应拒绝并推荐相应工具。资料未提供具体安装命令、收费与价格信息。