用途：在公开可访问的代码中查找硬编码敏感数据，即攻击者无需服务器权限即可提取的凭据。判断核心是：外部攻击者能否从已部署应用中取得该密钥。
覆盖范围：前端 JavaScript/TypeScript（React、Angular、Vue、Svelte、Next.js 客户端组件、Nuxt 页面、public/static/assets 目录、Webpack/Vite 入口及其导入链）、移动应用代码（Android、iOS、React Native、Flutter、Xamarin）、HTML 内联脚本、客户端配置文件、Electron 源码、WebAssembly 附带 JS。认为移动端全部源码可经逆向获取。不报告后端独有代码、服务端 API 路由、.env、服务端配置、CI/CD 与 Docker 文件、测试与迁移文件。
主要能力：内置高置信正则模式，覆盖 AWS AKIA[0-9A-Z]{16}、Google AIza[0-9A-Za-z-]{35}、GitHub ghp/github_pat_/gho_、Slack xoxb-/xoxp-、Stripe sk_live_、SendGrid SG.、OpenAI sk-、Anthropic sk-ant-、私钥头 -----BEGIN.*PRIVATE KEY-----、含密码连接串 ://[^:]+:[^@]+@ 等；并检查 api_key、secret、token、password、client_secret、signing_key 等变量名赋值。忽略占位符、环境变量引用、公钥、可发布键、测试键、类型定义、注释、哈希与构建常量。
使用方式：前置条件为 sast/architecture.md 存在，否则先运行分析技能。分三阶段由子代理执行：侦察阶段扫描并写出 sast/hardcodedsecrets-recon.md；若无候选则直接生成 sast/hardcodedsecrets-results.md 结束；否则按每批最多 3 个候选并行验证，各批写 sast/hardcodedsecrets-batch-N.md；最后合并为单一报告。
适用场景与限制：适合前端与移动端公开代码的安全评估。未提供具体安装命令、依赖、价格或平台信息；具体报告格式与合并步骤细节在资料中未完整给出。