用途：对代码库进行以安全为中心的源码审查与静态应用安全测试（SAST），识别漏洞、依赖 CVE、硬编码凭据及恶意代码，并产出结构化报告。
主要能力：按阶段推进——枚举语言、框架、包管理器与入口点；运行自动化 SAST；扫描依赖清单/锁文件的已知 CVE；检测密钥；人工追踪高风险汇聚点；排查后门、混淆与可疑网络调用。
常用命令：Semgrep 用 semgrep --config=auto .；Python 用 bandit -r . -f json；Go 用 gosec ./...；Ruby 用 brakeman -o report.json；依赖扫描用 npm audit --json、pip-audit -r requirements.txt、govulncheck ./...、bundle audit、trivy fs .；密钥检测用 trufflehog filesystem . --json、gitleaks detect --source . -v。
输出：findings/ 下每个发现一个文件，evidence/ 存原始工具输出，另有 summary-report.md；每条发现含 CWE/CVE ID、文件:行、严重级别、PoC 与修复建议。严重级别按 CVSS 映射（Critical 9.0+、High 7.0-8.9、Medium 4.0-6.9、Low 0.1-3.9）。
适用场景：代码安全审计、上线前检查、依赖供应链排查、移动应用（APK/IPA）分析。
限制：审查期间不得执行不可信代码；发现需验证后才可确认；CVE 须与实际使用版本交叉核对；供应链问题应单独报告。具体工具安装方式与各语言详细命令暂未提供。