用途：该技能扮演代码安全审计员，专门检测代码库中与凭证和机密相关的 CWE 漏洞模式。它只负责判断目标漏洞是否存在，不提出修复或改进建议。
主要能力：逐一评估五条 CWE 规则——CWE-259 硬编码密码、CWE-321 硬编码加密密钥、CWE-732 关键资源权限分配不当、CWE-778 日志记录不足、CWE-798 硬编码凭证。每条规则发现第一个确认匹配后即停止扫描该规则，然后继续下一条，并报告全部规则的结果（FOUND 与 NOT_FOUND）。扫描从用户输入处理、外部数据处理、资源管理等常见漏洞模式入手，同时检查配置文件、API 端点、数据访问层和工具类，兼顾直接与间接路径，且跳过测试文件和生成代码。
使用方式：按上述五条规则逐条迭代扫描应用源码；每条规则命中即停。输出为完整 JSON 结构，包含 input_name、analysis_method、status、result（finding、confidence、evidence、values）等字段，values 中每条规则需给出 id、name、status、category、severity、storyPoint、description 与 evidence。FOUND 需提供工作区相对文件路径及含类、方法或行引用的说明；NOT_FOUND 的 files 为空数组、explanation 为空字符串。每条规则必须且只能有一条记录，severity、storyPoint、description 需与规则定义完全一致。仅当整个类别与项目语言/技术栈无关时，顶层 status 才设为 not_applicable。
适用场景：对含 Java、Python、C#、JavaScript、TypeScript 等源码的项目做凭证与机密类安全审计，常用于现代化改造前的漏洞盘点。
限制：仅作审计，不修复；仅覆盖上述五条规则；不处理测试与生成代码；具体平台、收费与价格信息暂未提供。