用途：面向防御性安全分析，运行 CodeQL 与 Semgrep 进行静态代码扫描，输出 SARIF 结果，用于漏洞检测、代码质量评估与合规扫描（如 SOC2、HIPAA、PCI-DSS）。仅限获得书面授权的评估、代码审查、CI/CD 自动化扫描及受控环境教学，禁止未授权扫描或利用漏洞。
主要能力：先用 find 识别项目语言，检查已有 CodeQL 数据库、Semgrep 配置与 SARIF 输出目录。CodeQL 侧用 codeql database create 建库（如 --language=javascript、python，可多语言），再用 codeql database analyze 配合查询包（如 codeql/javascript-queries:Security、Maintainability）输出 sarifv2.1.0。Semgrep 侧用 semgrep scan --config=auto 或指定规则集（p/security-audit、p/owasp-top-ten、p/secrets、p/ci 等）输出 SARIF。
结果处理：SARIF 含 runs、tool、results、ruleId、level、message、locations 等字段，可用 jq 统计严重级别、列出 error 级发现、导出 CSV。按 error/warning/note/none 分级处置，评估数据流、净化、上下文、可达性与影响以判定误报，并按模板输出报告。
集成与限制：提供 GitHub Actions 示例，结合 codeql-action 与 semgrep-action 上传 SARIF；可映射 OWASP Top 10。要求每次分析新建 CodeQL 数据库、排除测试目录、CI 中阻断 CRITICAL/HIGH、抑制发现须记录理由。资料还提及 Snyk 与 Semgrep MCP 集成及记忆协议，但未提供具体版本、收费或效果数据。