用途：提供高级漏洞分析的原则与流程，帮助按攻击者视角进行安全评估、攻击面梳理与风险排序，适用于代码审计、依赖与供应链审查、云配置检查及上线前后的持续扫描。
主要能力：围绕 OWASP Top 10:2025 的十类风险（访问控制、安全配置错误、软件供应链、加密失败、注入、不安全设计、认证失败、完整性失败、日志与告警、异常条件）给出核对方向；提供供应链攻防要点（校验包完整性、锁定版本、私有仓库、制品签名与验证）；攻击面映射（入口点、数据流、信任边界、资产）与风险优先级矩阵；风险排序参考 CVSS、EPSS、资产价值与暴露面；异常条件中的 fail-open 与 fail-closed 判断；代码高风险模式与密钥特征识别；云安全共担模型与 IAM、存储、网络、密钥检查项；报告结构与严重度分级。
使用方式：运行自动验证脚本 python scripts/security_scan.py <project_path>；参考 checklists.md（含 OWASP Top 10、认证、API、数据保护清单）。建议按侦察、发现、分析、报告的四阶段方法执行，先绘制攻击面再扫描，按可利用性与资产价值排序，持续扫描而非仅部署前一次。
限制：资料未提供具体脚本实现细节、支持的编程语言、输出格式、集成方式、许可与收费信息，也没有实际检测能力或准确率说明，需结合具体项目验证；扫描只发现问题，优先级仍需人工专家判断。