security-scan

用途：Security Scan 是面向代码变更的快速安全扫描工作流，激活一次聚焦的安全检查。它比完整 /review 更快，只关注安全。适用时机包括：提交涉及认证、用户输入、数据存储或外部 API 的代码前；新增依赖后；PR 前的快速安全门禁。\n\n主要能力（扫描协议分五步）：\n1. 确定范围：默认扫描近期变更，可用 git diff --name-only HEAD~1，或使用给定路径。\n2. 密钥扫描：用 grep 匹配常见密钥模式（如 sk-、ghp_、AKIA、api.key、password、secret 等），并检查 .env 是否在 .gitignore 中；已提交代码中匹配到即视为阻塞项。\n3. 依赖审计：按语言运行相应命令，Node.js 用 npm audit --audit-level=high，Python 用 pip-audit 或 safety check，Rust 用 cargo audit，Go 用 govulncheck ./...，Java/Maven 用 mvn dependency-check:check；报告严重/高危 CVE 数量及包名。\n4. 输入验证抽查：针对处理用户输入的变更文件，检查输入是否在使...\n\n（资料在输入验证部分结尾处不完整）