用途：检测代码中的硬编码值、魔法数字、重复常量与泄露密钥，覆盖常量检测、DRY 违规、SSoT 违规、凭证泄露等场景。
主要能力：整合 9 类工具。Bandit 检测 Python 硬编码密码与令牌（B105-7）；TruffleHog 基于熵检测密钥并验证 API；Whispers 扫描 YAML、JSON、Dockerfile、.env 等配置文件密钥；ast-grep 检测参数、sleep、URL、路径中的硬编码字面量；Ruff PLR2004 检测魔法值比较；Semgrep 检测 URL、端口、路径、凭证、重试配置；env-coverage 交叉引用 BaseSettings 覆盖缺口；jscpd 检测重复代码块；gitleaks 基于正则扫描密钥。
使用方式：先运行预检 uv run --python 3.14 --script scripts/preflight.py -- .，再执行完整审计 uv run --python 3.14 --script scripts/audit_hardcodes.py -- src/，也可单独运行各工具脚本。CLI 选项包括 --output {json,text,both}、--tools、--severity、--exclude、--no-parallel、--skip-preflight。输出含 summary、findings 与 refactoring_plan。
适用场景：代码审计、常量抽取、密钥扫描、配置覆盖检查、重复代码治理。
限制：env-coverage 仅识别 pydantic BaseSettings；Whispers 面向配置文件而非 src/；所有工具遵循 .gitignore；部分工具需预先安装（如 ruff、ast-grep）；大代码库可能超时或内存不足；gitleaks 可能对测试数据误报，可用 .gitleaks.toml 允许列表处理。