用途：orca-sec-scans 提供一个静态只读的安全扫描流程，可用于本地或 CI/Jenkins，覆盖依赖 CVE（Go/Node/Python 锁文件）、配置错误（Dockerfile/compose/nginx）与文件中泄露的密钥。除静态层外，还包含用真实请求核验开发者默认假设的动态扫描层，以及对外的供应链与品牌仿冒扫描层。
主要能力与用法：先检查并安装 Trivy（缺失时执行 trivy --version 检测，Darwin 用 brew install trivy，Linux 用官方安装脚本），再按锁文件识别语言与范围，然后运行 trivy fs <dir> --scanners vuln,misconfig,secret --severity HIGH,CRITICAL 并跳过 node_modules、.next、.contentlayer、_archives 等目录。报告输出到 security/trivy-report.json 与 security/trivy-report.html，随后按目标汇总 HIGH/CRITICAL 并给出修复建议，修复后重新扫描确认 remaining = NONE。可选运行 python3 fdk/tools/supply-watch.py <品牌名> 做 7 个 TLD 的 DNS 存活探测与 CT 日志监控，退出码 0 为干净、2 为有发现。
适用场景：发布或合并部署分支前、CI 定期扫描，以及 diff 涉及 auth、用户输入、密钥、新端点、支付/敏感数据、公开域名时必须扫描。
限制：Trivy 不修改代码；静态报告干净不等于安全，auth 绕过、公开暴露、CORS/CSRF 逻辑与分支偏差需动态核验。未提交的子模块变更只建议修复不自动升级；修复无法通过构建验证则不提交；报告仅是评审产物，不应提交到部署服务器；无 HOST 时只能做静态扫描并明确说明动态层未运行；crt.sh 不可用时跳过该监控而非判定干净。声明：以上说明中未提供的具体价格、平台支持等信息暂未提供。