用途：在无服务器应用上线前、排查环境变量或日志数据暴露、评估执行角色被攻破后的影响范围、合规审查，以及构建默认安全模板时，对 AWS Lambda、Azure Functions、GCP Cloud Functions 做安全审查。不适用于容器/虚拟机评估、API 层 DAST 测试或实时威胁检测。
主要能力：按工作流执行六类检查——枚举函数及其运行时、内存、超时、网络配置；审计执行角色是否含通配符或过宽策略；扫描环境变量中的硬编码凭据与密钥；检查触发器和访问控制（如公开调用策略、函数 URL 认证、ALLOW_ALL 入口）；下载函数代码用 Bandit、ESLint 做漏洞与注入模式分析；用 Checkov、Prowler 做自动化合规扫描。
使用方式：前置需配置 AWS CLI、Azure CLI、gcloud CLI 与读取函数配置和执行角色的权限，并准备 Prowler/Checkov、SAM CLI 或 Serverless Framework 及日志监控。正文给出各步骤命令，例如 aws lambda list-functions、aws iam get-policy-version、az functionapp list、gcloud functions list、bandit -r function-code/、checkov -d ./serverless-project/ --framework serverless、prowler aws --checks 等，按原样执行。
适用场景：审查 payment-processor 等存在 AdministratorAccess 与明文密钥的函数；统计管理角色、环境变量密钥、过期运行时、公开访问、通配符权限的函数数量并输出分级发现。
限制：修改执行角色可能因过严而破坏函数，需先在预发布环境验证；环境变量变更会触发新版本，需同步别名与触发器；Secrets Manager 调用有延迟，应在执行上下文中缓存。具体价格、平台支持范围与效果等资料暂未提供。