用途：对当前项目运行 Semgrep 安全扫描，检测安全漏洞、密钥泄露和 OWASP Top 10 问题，并生成结构化报告。
主要能力：默认使用推荐规则集全面扫描；OWASP 安全审计使用 semgrep scan --config "p/security-audit"；语言专项扫描支持 Python（p/python、p/bandit）、JavaScript/TypeScript（p/javascript、p/typescript）、Go（p/golang）；密钥泄露检测使用 semgrep scan --config "p/secrets"；也可指定文件或目录扫描。
使用方式：先检查 semgrep --version，未安装则执行 pip install semgrep。默认扫描命令为 semgrep scan --config auto --json 2>/dev/null | python -m json.tool，输出过大时可改用 semgrep scan --config auto。指定路径时使用 semgrep scan --config auto <目标路径>。触发示例包括“帮我安全扫描一下这个项目”“扫一下漏洞”“检查一下有没有安全问题”“扫一下有没有密钥泄露”“对src目录做个安全检查”。
流程与报告：确认环境、识别项目语言、选择规则集、执行扫描、分析结果，并按严重程度（高危、中危、低危/信息）分类输出扫描摘要、问题分类和修复建议。
限制：Semgrep 是规则匹配工具，只能发现已知模式的漏洞，无法像 Claude Code Security 那样理解代码逻辑；结果可能有误报，需结合上下文判断；大型项目扫描可能耗时较长，可指定子目录缩小范围。密钥泄露检测建议每次提交前运行。