用途：对代码变更执行结构化、可重复的安全审查，依据 OWASP ASVS 4.0.3 验证要求与 CWE Top 25（2024）最危险软件弱点，输出带可追溯控制项编号、严重级别和可操作修复建议的发现。资料称其在拉取请求审查等场景自动调用。
主要能力（按步骤）：1）范围与语言识别：识别语言与框架、列出受审文件及职责、标记信任边界（HTTP 参数、请求头、文件上传、消息队列、环境变量）、记录安全敏感依赖，并把 ASVS 章节映射到范围；未记录语言、信任边界与适用 ASVS 章节前不继续。2）输入验证与注入审查：对应 ASVS V5，覆盖 CWE-79、89、78、22、77、20，检查服务端校验、白名单、上下文输出编码、参数化查询、LDAP 与 OS 命令注入防护、序列化完整性等，并给出 Python/JavaScript/Go/Java 的漏洞模式与修复方向。3）认证与会话审查：对应 ASVS V2、V3，覆盖 CWE-287、306、798，检查密码长度与泄露密码比对、防自动化、TOTP 有效期、硬编码凭据、会话令牌随机性与注销失效、空闲超时、Cookie 的 Secure/HttpOnly/SameSite、密码哈希算法等。4）授权审查：对应 ASVS V4，覆盖 CWE-862、352，检查服务端强制访问控制、IDOR、防 CSRF、最小权限、管理接口 MFA/RBAC、默认拒绝。5）密码学审查：对应 ASVS V6，检查静态加密、安全失败、算法与模式、ECB/DES/RC4 等禁用、CSPRNG、密钥管理。6）错误处理与日志：对应 ASVS V7，检查不记录凭据与敏感数据、认证与授权决策日志、防日志注入、通用错误信息、默认拒绝。7）数据保护：对应 ASVS V8，检查缓存控制、敏感数据不经 URL 传递、autocomplete 禁用、内存覆写。8）反序列化与文件处理：对应 ASVS V12，覆盖 CWE-502、434、918，检查大文件与解压炸弹、文件名净化、webroot 外存储、类型校验、SSRF 限制。
使用方式：资料未提供具体安装命令或调用语法；仅说明可通过参数指定审查目标（$ARGUMENTS），并在拉取请求审查等场景自动调用。
适用场景：代码评审、PR 安全门禁、按 ASVS/CWE 体系做合规性检查。
限制：资料未提供收费、价格、平台支持范围与效果数据；审查结论依赖人工确认，示例代码仅作漏洞模式说明。