用途：作为安全评估的第一阶段，对代码库进行纯侦察式分析，目标是深入理解代码库，此时不寻找具体漏洞。在项目根目录创建 sast/ 文件夹（若不存在），本阶段产出一个文件 sast/architecture.md，记录技术栈、架构、入口点与数据流。
主要能力：第一阶段技术侦察，探索并识别语言及版本、Web 框架/ORM/模板引擎/任务队列、包管理器与依赖（锁文件、package.json、requirements.txt、go.mod、Gemfile、pom.xml 等）、基础设施线索（Dockerfile、docker-compose、Kubernetes 清单、Terraform、CI/CD 配置）、数据库（SQL、NoSQL、缓存层、消息代理，查看连接字符串、ORM 模型、迁移文件）、认证与授权（认证库、中间件、会话配置、OAuth/OIDC、JWT、API key 模式）、外部集成（第三方 API、支付、邮件、云 SDK、webhook）、入口点（HTTP 路由、GraphQL schema、gRPC 服务定义、CLI 命令、WebSocket、定时任务、消息消费者）。建议先读依赖清单、项目配置和目录结构，再深入源码确认。
第二阶段架构映射：判断服务边界（单体或微服务、组件间关系）、数据流（用户输入如何进入、处理、存储与返回）、信任边界（用户输入到后端、后端到数据库、服务间、服务端到客户端）、权限级别（角色/权限及其落实方式、是否有管理后台）、敏感数据清单（PII、凭据、令牌、金融数据、健康记录及其存储与移动方式）。
输出格式：将两阶段结果写入 sast/architecture.md，包含技术栈表格、架构概述、数据流、入口点表格、信任边界、敏感数据清单。
限制与提醒：不要报告具体漏洞（如某行存在 SQL 注入），这属于后续阶段；探索要彻底，阅读实际源码而非仅看配置文件，关注认证中间件应用、查询构造、文件上传处理；大型代码库优先关注安全敏感区域，如认证、支付、数据访问、文件处理和管理功能。