用途：对项目做系统性安全审查，覆盖依赖漏洞、凭据暴露、常见代码漏洞与配置加固。触发场景包括发布或部署前、新增依赖后、接手新代码库、周期性安全审查、收到漏洞报告后。
主要能力与检查项：
- 凭据与密钥扫描：用 git grep 查找 api_key、secret、password、token 等模式；检查 .env 是否被 git 跟踪；确认 .gitignore 覆盖 .env、credentials.json、secrets.yaml 等敏感文件。
- 依赖漏洞扫描：Python 用 uv run pip-audit；JavaScript/TypeScript 用 bun pm audit 或 npm audit --omit=dev；Go 用 govulncheck ./...。按严重度分级：Critical 须发布前修复并阻塞发布准备；High 下个发布前修复；Medium 本冲刺内修复；Low 记入待办。
- 代码漏洞模式：扫描 SQL 注入（字符串插值拼接 SQL）、命令注入（shell=True、os.system、exec、eval）、XSS（dangerouslySetInnerHTML、innerHTML）、路径遍历等。
- 认证与授权：检查密钥比较是否恒定时间、会话令牌过期、CORS 是否限制来源、认证端点限流、密码哈希是否用 bcrypt/argon2。
- 配置加固：生产关闭调试、强制 HTTPS/HSTS、安全响应头（CSP、X-Frame-Options、X-Content-Type-Options）、错误信息不泄露堆栈、日志不含敏感数据。
- Docker 安全：非 root 用户、基础镜像固定版本、构建参数与层中无密钥、健康检查、尽可能只读文件系统。
- CI/CD 安全：密钥存于 GitHub Secrets、第三方 action 固定 SHA、最小权限、避免 pull_request_target 检出 PR 头。
输出格式：按优先级列出发现，分为 Critical、High、Medium、Low 与 Passed 各节，并标注类别（如 CRED、DEP、CODE、CONFIG）。
限制：资料未提供具体安装命令、收费方式、平台支持范围与自动化执行细节；部分检查依赖项目语言与工具链，需按实际情况调整。