用途：对软件供应链做整体安全评估，适用于重大发布或收购前的风险审查、供应链事件响应、达成 SLSA Level 2+ 合规、向客户或监管方提供 SBOM，以及审计引入的第三方代码。
主要能力：清点各生态依赖并检测 Node.js、Python、Go、Java、Ruby、Docker 等生态；检查锁文件完整性；按生态运行 SCA 工具（npm audit、Snyk、pip-audit、govulncheck、Trivy、Grype）；用 TruffleHog 或 gitleaks 扫描密钥；自动检测 SLSA 指标（如 GitHub Actions SHA 固定、provenance 生成）；用 syft 生成 CycloneDX 与 SPDX SBOM；按依赖、构建流水线、源码、分发四类攻击向量分析暴露面；输出风险发现表、SLSA 合规矩阵与分优先级修复路线图。
使用方式：需先安装工具，例如 macOS 上 brew install trivy grype syft cosign gitleaks，Linux 可用 syft/grype 官方安装脚本，另按生态安装 snyk、pip-audit、govulncheck、trufflehog。设置环境变量 SECSKILL_REPO_PATH（必填，仓库根路径），可选 SECSKILL_OUTPUT_DIR、SECSKILL_IMAGE_NAME、SNYK_TOKEN、SECSKILL_SBOM_FORMAT。随后按工作流执行：清点生态与锁文件、运行 SCA 扫描、评估 SLSA、生成 SBOM、分析攻击面、输出发现与修复建议。
限制：SBOM 为时间点快照，需每次发布重新生成；分支保护状态需 GitHub API 才能确认；部分扫描依赖网络与镜像仓库认证；SLSA Level 3 需较大 CI 平台投入。资料未提供收费、价格与效果数据。