用途：在代码评审中专门审查 git diff、Pull Request 变更或提交区间，检测安全回归。与全仓库审计不同，它只看“变了什么”：新增代码是否引入漏洞（硬编码密钥、注入点、不安全反序列化），删除代码是否移除了安全控制（鉴权检查、输入校验、限流）。
主要能力：按风险等级对变更文件分类；对新增和删除行做定向模式检查；交叉比对依赖变更；产出按严重级别排序的发现列表。
使用方式：需 git 访问权限与 git CLI，可选 semgrep 做自动模式匹配，并能读取依赖清单（package.json、go.mod、requirements.txt、Cargo.toml 等）。输入包括 DIFF_SOURCE、BASE_REF、HEAD_REF、REPO_PATH、LANGUAGE。流程为获取 diff（如 git diff -U5 BASE..HEAD、git diff --cached、git log --oneline）、按风险分级、审查新增反模式、审查删除的安全控制、审查依赖变更、输出发现。可运行 semgrep --config=p/secrets --config=p/owasp-top-ten 等命令。
适用场景：PR 安全评审、怀疑某提交区间引入回归、合并前轻量门禁、审查可能悄悄改变安全行为的依赖升级。
限制：只审查变更，不覆盖 diff 之前已存在的漏洞，那属于全库审计技能；上下文不足时需重跑 -U10；测试固定值可能产生密钥误报；无 semgrep 时只能手动检查；重命名文件可能被识别为删除+新增，需用 git diff -M。