用途：对已部署 Web 应用做只读的客户端敏感信息暴露审计，检查 JavaScript、HTML 元数据、注释与可公开访问的源码/配置文件中是否泄露密钥、令牌或密码。映射 OWASP A02:2021、A05:2021 及 CWE-798、CWE-200、CWE-540。仅在获得书面授权、明确目标主机的范围内使用；只发送未认证 GET 请求，不利用、不爆破、不篡改。
主要能力：检查响应头（如 access-control-allow-origin、CSP 等安全头缺失、HSTS 与版本横幅）；用 grep 在 HTML 及 meta、data-* 属性、隐藏元素、注释中搜索密钥模式；抓取并扫描全部 JS bundle 与 sourcemap；探测 /.env、/.git/config、/package.json、/vercel.json、/Dockerfile、/docker-compose.yml 等常见源码/配置/部署文件，并用 SPA fallback 响应体大小比对区分真实文件；对发现的问题按影响范围分级（Critical/High/Medium/Low），输出含 OWASP/CWE、位置、脱敏证据、影响与修复建议的 Markdown 报告，并标注需轮换的密钥。
使用方式：设置 BASE 目标地址后，依次执行响应头检查、HTML grep、JS 抓取扫描、路径探测与分级报告。对探测路径需先以随机路径基准化 fallback 大小，只有大小不同才视为真实文件；发现源码文件后需继续跟踪 require/import 链。
适用场景：静态站/SPA 部署（Vercel、Netlify、Nginx、S3、GitHub Pages）上线前或评审时的密钥与敏感文件暴露检查。
限制：仅做客户端资产只读侦察，不测试注入、认证逻辑、IDOR 或服务端缺陷；路径探测依赖字典，无法覆盖所有文件；不替代环境特定验证与专家评审；发现真实密钥应存放在受控位置、报告中脱敏并建议轮换，不得用于认证、横向移动或数据访问；授权、范围或安全边界缺失时应停止并请求澄清。