用途：对当前项目执行 Semgrep 安全扫描，发现漏洞、密钥泄露和 OWASP Top 10 类问题，并生成结构化安全报告。
主要能力：默认使用推荐规则集全面扫描；OWASP 安全审计使用 semgrep scan --config "p/security-audit"；按语言专项扫描，如 Python 用 --config "p/python" --config "p/bandit"，JavaScript/TypeScript 用 --config "p/javascript" --config "p/typescript"，Go 用 --config "p/golang"；密钥泄露检测用 semgrep scan --config "p/secrets"；也可指定文件或目录扫描。
使用方式：先检查环境 semgrep --version，未安装则执行 pip install semgrep；再识别项目主要语言，选择规则集执行扫描，例如 semgrep scan --config auto --json 2>/dev/null | python -m json.tool，输出过大时可改用 semgrep scan --config auto。扫描后按高危、中危、低危、信息分类，给出文件行号、问题描述与修复建议。
适用场景：用户要求安全扫描、漏洞检查、代码扫描、密钥泄露检查或对指定目录做安全检查时。
限制：Semgrep 是规则匹配工具，只能发现已知模式，无法像 Claude Code Security 那样理解代码逻辑；结果可能有误报，需结合上下文判断；大型项目扫描可能耗时较长，可指定子目录缩小范围。密钥泄露检测建议每次提交前运行。