用途：对代码变更进行结构化、可复现的安全审查，依据 OWASP ASVS 4.0.3 验证要求与 CWE Top 25（2024 版），产出带可追溯控制编号、严重级别和修复指引的发现。可在拉取请求审查时自动触发。
主要能力按步骤组织：一、范围与语言识别，列出文件路径与职责、标记信任边界、记录安全相关依赖，并映射 V1–V14 中适用的 ASVS 章节。二、输入验证与注入审查，覆盖 V5，涉及 XSS、SQL 注入、命令注入、路径遍历等，并给出各语言的易受攻击模式与修复方向。三、认证与会话审查，覆盖 V2、V3，检查硬编码凭据、缺失认证、会话令牌强度与 Cookie 属性。四、授权审查，覆盖 V4，检查越权、IDOR、CSRF。五、密码学审查，覆盖 V6，检查弱算法与不安全随机数。六、错误处理与日志，覆盖 V7。七、数据保护，覆盖 V8。八、反序列化与文件处理，覆盖 V12，涉及不受信数据反序列化、任意文件上传与 SSRF。
使用方式：资料提供参数聚焦方式（通过 $ARGUMENTS 指定目标）及每步的审查清单；资料末尾在 SSRF 修复处截断，完整结尾未提供。具体安装命令、平台支持、收费信息、运行入口均暂未提供。
限制：应以资料所提供的 ASVS 与 CWE 控制项为准；未列出的事项需自行判断。