用途：对代码库进行自动化安全扫描，识别漏洞、硬编码密钥、不安全依赖和不安全编码模式，适合安全评估起步、提交前检查、CI/CD 安全验证、依赖漏洞扫描、密钥检测和静态安全分析。
主要能力：一是密钥检测，用 grep 模式查找密码、api_key、secret、token、AWS 凭证（AKIA[0-9A-Z]{16}）、私钥（BEGIN.*PRIVATE KEY）和数据库连接串，也可用 gitleaks detect --source . --report-format json --report-path gitleaks-report.json、trufflehog filesystem . --json、git secrets --scan。二是依赖漏洞扫描，Python 用 pip-audit --desc --format json、safety check --json，Node.js 用 npm audit --json、yarn audit --json，通用用 trivy filesystem . --format json --output trivy-report.json。三是不安全代码模式检测，覆盖 SQL 注入、命令注入（subprocess shell=True、os.system、child_process exec）、路径遍历、不安全反序列化（pickle.loads、yaml.load、eval）、XSS（innerHTML、dangerouslySetInnerHTML）和弱加密（md5、sha1、random.random、Math.random）。四是认证授权问题，检查缺少认证装饰器的路由、默认口令和会话配置。五是静态分析工具，Python 用 bandit -r src/ -f json -o bandit-report.json，多语言用 semgrep --config=auto . --json 或 --config=p/owasp-top-ten，JavaScript 用 eslint 安全插件。六是配置安全，检查 .env 提交、.gitignore、安全响应头和宽松 CORS。
使用方式：按扫描工作流逐项执行命令，输出统一安全扫描报告，包含日期、范围、工具版本、按严重级别分类的问题、证据、修复建议、工具报告、建议行动和误报记录。安装工具：pip install pip-audit safety bandit、pip install truffleHog、pip install semgrep，gitleaks 与 trivy 通过二进制发布安装。扫描频率建议：提交前做密钥检测，每日依赖扫描，每周完整静态分析，PR 前完整扫描，发布前综合评估。
限制：资料未提供该技能的收费、价格、平台支持范围或效果保证；部分工具需另行安装，未安装时脚本会提示不可用；扫描结果需人工分类，存在误报可能。