用途：在代码生成或修改后、提交前主动扫描新增或变更代码，防止安全漏洞进入代码库。
主要能力：按文件类型自动选择扫描类型——源代码文件（.js、.ts、.py、.java、.go 等）触发 SAST（snyk_code_scan）；依赖清单（package.json、requirements.txt、pom.xml、go.mod 等）触发 SCA（snyk_sca_scan）；基础设施文件（.tf、K8s YAML、ARM JSON、serverless.yml 等）触发 IaC（snyk_iac_scan）。二进制、文档、非 IaC 的 JSON/YAML、测试夹具等会被跳过。
使用方式：先用 git diff --name-only HEAD、git diff --name-only --cached 或 git status --porcelain 收集变更文件，按类型分类后并行执行三类扫描。SAST 仅保留落在 git diff -U0 修改行范围内的发现；SCA 仅保留漏洞数量或严重度增加的情况，并遵循净改进规则；IaC 仅保留新增或修改资源块中的错误配置。最后按阈值模式（Strict 阻止 Low+、Standard 阻止 High+ 并警告 Medium、Relaxed 仅阻止 Critical）输出报告并给出 BLOCKED 或 ALLOWED 决策。
适用场景：代码生成后自动扫描、提交前检查、CI/CD 中在 PR 创建或推送特性分支时调用并阻止超阈值合并。
限制：只针对新增问题，不阻止既有问题；不修改代码，仅报告；典型变更应在 30 秒内完成；认证失败需运行 snyk_auth 重试；可用 .snyk 策略文件抑制误报；结果按文件加内容哈希缓存 12 小时。资料未提供具体收费与价格信息。