用途：在编写或审查应用代码时识别常见漏洞类别，包括注入、XSS、认证与会话、加密、SSRF、XXE、反序列化，也覆盖密钥处理、会话/JWT、传输安全，以及 Terraform、Kubernetes 清单、Dockerfile、GitHub Actions 的安全配置问题。可主动加固接收用户输入、执行 I/O、查询数据库或调用外部 URL 的代码，并将发现映射到 CWE/OWASP 分类。
主要能力：按语言/技术栈优先检查，如 Python 的 SQL/命令注入、路径穿越、代码注入、SSRF、不安全加密、反序列化；JavaScript/TypeScript 的 XSS、原型污染、CSRF、不安全传输；Java 的 SQL 注入、XXE、反序列化、SSRF；Go 的注入、路径穿越、SSRF；C/C++ 的内存安全与不安全函数；Ruby/PHP 的注入、XSS、反序列化；以及 HCL/YAML 的基础设施即代码。
使用方式：分主动模式（触及安全敏感代码时无需显式请求即检查）和被动模式（用户请求安全审查时按 references/review_checklist_and_owasp_mapping.md 执行）。流程为先识别语言/栈与代码用途，再加载对应参考文件，按严重度排序给出发现，附文件/行上下文与修复建议。参考资料包括 code_security_scope_and_workflow.md、injection_and_input_validation.md、crypto_auth_and_session.md、deserialization_ssrf_xxe.md、infrastructure_as_code_security.md 等，不保证每种语言都覆盖全部规则。
限制：不用于渗透测试与红队、合规审计证据、安全工具部署运维、CI/CD 扫描器配置、YARA 规则编写，也不用于无安全视角的一般功能设计。具体安装命令与收费信息资料未提供。