用途：对代码库做一次综合性安全扫描，检测 OWASP Top 10（访问控制、加密、注入、SSRF、日志等）、硬编码密钥、注入缺陷、加密问题与配置问题。仅用户显式要求时运行，普通编码任务不会自动触发；默认只输出报告，任何文件改动（--fix）须先获用户明确批准。
主要能力与用法：/security-scan 全量扫描当前目录；--scope src/ 指定目录；--quick 仅查严重问题；--focus injection 聚焦某类（injection、secrets、crypto、auth、config）；--details 详细输出；--json 输出 JSON（凭据字段已掩码）；--fix 提出补丁，仅应用用户明确批准的编辑。结果按 CRITICAL、HIGH、MEDIUM、LOW、INFO 分级，给出文件行号、匹配规则、风险与修复建议。
限制：本包仅提供基于模式/正则的检测与代码审查指引，不含 SAST 数据流引擎、脚本化熵工具或内置 CVE 咨询库；需要此类工具时应说明并仅在用户具备且批准时委派外部工具。依赖分析只读取项目自身 lockfile/manifest 的固定版本，已知 CVE 匹配需外部咨询工具。凭据命中必须掩码（前 4 字符 + ... + 后 4 字符或 SHA-256 前 8 位十六进制），适用于 --details、--json 及落盘报告。可通过项目根目录 .security-scan.yaml 配置排除、阈值、类别开关与自定义模式，用 .security-scan-ignore 忽略误报。命令为对话约定，由智能体解释，包内无 CLI 解析器。