用途：用于防御性 Web 与 Web 应用安全审计，目标可为本地项目、localhost、staging 或已获明确授权的公/私网站。进行主动探测、DAST、模糊测试等前，用户须拥有目标或已获授权。
主要能力：分被动（本地代码检查加一次 URL 抓取）、standard（浅层常见暴露面检查，需 --authorized）、active（在授权下运行 Nuclei、OWASP ZAP 等已安装扫描器）三级，支持 --diff-base <ref> 只扫描 Git 变更文件。可检查 HTTP 头、TLS、Cookie 标志、CORS、敏感文件、security.txt、SPA 身份流程、API 授权、JWT 使用、CI/CD 配置等，并按 OWASP Top 10、API Security Top 10、ASVS、WSTG、CWE 等进行分级报告。
使用方式：在工作区根目录运行 node scripts/security-audit.mjs --target <path-or-url> --mode passive --out security-audit-report.md；浅层检查用 --mode standard --authorized，主动扫描用 --mode active --authorized；可选 --profile deep、--scope-file、--html-out、--pdf-out、--json。可结合 npm audit、pip-audit、govulncheck、cargo audit、composer audit、osv-scanner、gitleaks 等生态工具。
限制：不利用漏洞、不持久化访问、不绕过认证、不导出数据、不进行凭据攻击或造成服务降级，且不打印密钥。仅凭客户端 JS 或扫描器输出不能断言可利用性，须标记 Needs validation。扫描器无法证明网站无漏洞，clean 结果仅代表这些检查未发现问题。