用途：对源代码做静态应用安全测试（SAST），在编码、代码评审和部署前发现安全漏洞，覆盖 OWASP、PCI-DSS、SOC2 等合规场景。
主要能力：支持 Python、JavaScript/TypeScript、Java、Ruby、PHP、Go、Rust 多语言；集成 Bandit、Semgrep、ESLint Security、SonarQube、CodeQL、PMD、SpotBugs、Brakeman、gosec、cargo-clippy 等工具；识别 SQL 注入、XSS、硬编码密钥、路径遍历、IDOR、CSRF、不安全反序列化等模式；可分析 Django、Flask、React、Express、Spring Boot、Rails、Laravel 等框架；支持用 Semgrep 编写组织自定义规则。
使用方式：先识别语言、框架与扫描范围，选择工具并配置规则，在本地或 CI 中可复现地运行扫描，再按严重级别分诊并给出修复建议。示例命令：pip install bandit；bandit -r . -f json -o bandit-report.json；pip install semgrep；semgrep --config=auto --json --output=semgrep-report.json；semgrep ci --config=auto。其他语言：mvn spotbugs:check、brakeman -o report.json -f json、gosec -fmt=json -out=gosec.json ./...、cargo clippy -- -W clippy::unwrap_used。可接入 GitHub Actions 或 GitLab CI 上传报告。
适用场景：代码评审安全分析、注入类漏洞排查、密钥泄露检测、框架特定模式检查、自定义安全策略执行、部署前验证、遗留代码评估与合规审计。
限制：不适用于仅需运行时测试或渗透测试的场景；无法访问源码或构建产物时不可用；环境禁止第三方扫描工具时不可用。安全注意：未经批准不要将专有代码上传到外部服务；启用自动修复或阻断发布前需人工评审。相关技能包括 security-secrets、security-owasp、security-api、security-scan。