用途：对项目或指定路径进行安全漏洞扫描，覆盖密钥泄露、依赖漏洞、OWASP 代码模式、文件权限以及 Web 项目的安全响应头。
主要能力：检测硬编码的 API 密钥、令牌、密码等敏感信息，检查 .env 是否被提交及 .gitignore 是否包含 .env、.pem、.key，识别 AWS 访问密钥、GitHub 令牌、JWT 密钥等模式；在存在 package.json 时检查 npm audit 问题，存在 requirements.txt 或 pyproject.toml 时提示运行 pip-audit 或 safety，存在 Cargo.toml 时提示运行 cargo audit；检查注入、认证缺陷、敏感数据、XSS、不安全反序列化、配置错误、SSRF、路径遍历等 OWASP 模式；检查脚本与配置文件的权限及私钥可读性；检查 CSP、X-Content-Type-Options、Strict-Transport-Security、X-Frame-Options、Referrer-Policy 等安全头。
使用方式：显式调用 /security-scan [path]，提供路径则扫描该路径，否则扫描整个项目根目录；由 security-auditor 智能体自动激活时，范围限定为正在修改的文件。报告按 Critical、High、Medium、Low 分级，包含文件与行号及修复建议，并给出总数统计与前三项建议。
适用场景：认证授权、加密操作、用户输入处理、SQL 查询、文件上传、HTTP 安全头、会话管理、API 密钥管理等安全敏感代码。
限制：依赖检测能力受锁文件可检测性影响；部分依赖审计工具需另行运行；与 security-auditor 智能体、file-protection.sh 和 smart-guard.sh 钩子及项目 security.md 规则配合使用。