С˧�ڴ���

离线体检 Python 资源泄漏：文件句柄未关闭、socket/数据库连接/文件描述符未释放、子进程未回收、循环内重复 open、临时资源未清理、文本模式缺 encoding 等 9 条规则，用 AST 区分 with / close / 转交调用方 / 进程级句柄四种结局，每条带文件行号与原文；纯标准库不执行被扫代码、零输入返回独立失败码 3、退出码即结论，支持按行记账式豁免，1600+ 真实文件校准（CPython 标准库仅 1 条 HIGH 且为真泄漏），40 项自检断言。

在把工具集交给模型之前，扫出 14 类「会让模型调错工具、传错参数却照样返回 200」的描述缺陷：缺描述、参数没标型、required 指向不存在的参数、破坏性操作无护栏、名字归一化后重复、多个工具共用同一段描述、参数爆炸等。每条给工具名、参数名与原文证据，退出码可直接做上线门禁。

代码里最贵的 bug 不是崩溃，是捕获了却把错误丢掉——接口返回成功、日志干净、活没干。只读静态扫描 Python/JS/TS/Java/Go/PHP/Ruby/Shell，16 条规则抓裸 except、空 catch、空 err 检查、rescue nil、|| true、finally 里 return、重试吞最后一次错误，按捕获范围分 HIGH/MEDIUM（宽捕获才 HIGH），给文件行号+改法，退出码可当 CI 门禁。

定时任务最典型的失败不是报错而是安静地什么都不做。只读扫描 crontab / systemd timer+service / GitHub Actions schedule / JSON 任务表，15 条规则抓非法表达式、被 # 注释掉却仍在触发的命令、裸解释器在最小 PATH 下找不到、未转义 % 截断命令、高频无互斥叠加、整点雪崩，每条给文件行号与改法，退出码 0/2/3 可直接当写入门禁。

发出去之前先看一眼包里有什么。只读 zip/tar.gz/wheel 的成员清单、不解压不执行，抓路径穿越、凭据与私钥文件、.git 元数据、依赖缓存、zip 炸弹、越界符号链接、跨平台非法文件名，每条给成员路径与改法，退出码 0/2/3 可直接当发布门禁。

不运行测试，只读测试代码，扫出 13 类注定会在别人机器上抖的形态：固定 sleep 等待、断言依赖真实时钟、硬编码端口、set 转 list 比顺序、未 await 的 task、无 timeout 的请求、打真实外网、重试掩盖等，每条给行号+为什么抖+改法，退出码可直接做 PR 门禁。

把「声称的许可证、LICENSE 正文、依赖许可证」三方对账：声明与正文不一致、AGPL/GPL 传染风险、占位未填模板、非规范 SPDX、Apache 缺 NOTICE、双许可未选等 12 类，每条给文件与原文证据，退出码可直接做交付门禁。

上线前扫一遍 SQL 迁移脚本：DROP/TRUNCATE、NOT NULL 无默认、CONCURRENTLY 写进事务、无 WHERE 的 UPDATE/DELETE、外键缺索引、硬编码凭据、无回滚段等 16 类问题，自动识别表重建与整表回填降噪，每条给文件名行号与原文证据，退出码可直接做发布门禁。

在把 CSV 交给下游之前，扫出 13 类「不报错但会被读错」的问题：列数不齐、编码回退、表头重复、整列空、邮编前导零丢失、数值列混文本、日期格式混杂、重复行、分隔符与后缀不符等，每条给行号、列名与原文证据，退出码可直接做交付门禁。

离线体检 Git 仓库卫生：合并冲突标记残留、.env 与私钥文件、超大文件、__pycache__/node_modules 产物未忽略、.gitignore 覆盖缺口、二进制归档、CRLF/LF 混行、remote URL 内嵌凭据（证据脱敏）等 11 条规则，每条带文件行号与证据；纯标准库不依赖 git 命令、零输入返回独立失败码、退出码即结论，支持 .hygieneignore 记账式豁免，随包 46 项自检断言。

离线体检测试到底能不能失败：抓出无断言的空用例、恒真断言、被 try/except 吞掉的断言、return 后不可达断言、只断言类型或非 None 的弱校验、浮点等值、无条件 skip/xfail。AST 静态分析不跑测试，14 条规则分高中低三档；委托型校验与导入冒烟自动降级提示，退出码即结论、零输入返回独立失败码，随包语料自检 69 项断言。

在不可信文本喂进上下文之前扫出「谁在指挥Agent」：指令覆盖、角色劫持、套取系统提示词、索取密钥、数据外发、破坏性操作、伪造轮次、隐藏指令载体、base64载荷等21类注入信号，每条带文件:行号+原文证据，并给出CLEAN/LOW_RISK/SUSPICIOUS/INJECTION_LIKELY档位。引用与代码块语境降级但不清零（防「示例：」洗白），纯标准库离线、确定性输出、退出码即结论，零输入返回独立失败码。

离线审计 Dockerfile 与 Kubernetes 清单的容器配置风险：latest 基础镜像、默认以 root 运行、特权模式与危险 capability、明文密钥写进 ENV/env、缺 resources.limits 与存活探针、hostNetwork 共享宿主机网络、.env 与私钥被 COPY 进镜像、curl|bash 供应链写法。每条结论带 文件:行号 与原文证据，纯 Python 标准库、确定性输出、退出码即结论（零输入返回独立失败码），可直接进 CI 或上线前门禁。

离线静态比对 .env / .env.example 与源码里的变量引用（os.environ、process.env、import.meta.env、getenv、${VAR} 等）：找出代码要但样例没声明的变量、声明了却没人用的死配置、同文件重复键（静默覆盖）、未替换的占位符、危险默认值（DEBUG=true / VERIFY_SSL=false）、近似拼错的键名、.env 未进 .gitignore。每条结论带文件行号与原文证据，纯 Python 标准库、确定性输出、退出码即结论，可直接进 CI 门禁。

离线扫描文件、目录与粘贴文本里的隐形字符与同形字：零宽字符、双向控制符（Trojan Source）、不可见标签字符（ASCII 走私）、西里尔与希腊同形字母混排、全角与数学字母混排、变体选择符、异常控制符。每条结论带文件行列号、字符名、形似字符与原文证据，另带 strip 子命令一键清除隐形字符。纯 Python 标准库、确定性输出、退出码即结论，可直接进 CI 门禁。

离线扫描 .sql 文件与源码里的 SQL 构造，抓出全表 UPDATE/DELETE、恒真 WHERE 条件、隐式笛卡尔积、SELECT *、无 LIMIT、LIKE 前导通配符、索引列被函数包裹、DROP 无 IF EXISTS、事务未闭合，以及 f-string 与字符串拼接 SQL 的注入面。纯 Python 标准库、确定性输出，每条结论带文件行号与原文证据，退出码即结论，可直接进 CI 门禁。

发图前的元数据体检器：一次扫出 GPS 定位、机身与镜头序列号、作者署名、原始拍摄时间、内嵌缩略图、ComfyUI 的 prompt/workflow 泄露与 C2PA 内容凭证，每条结论都带原始字段证据。配套剥离功能只动元数据段，剥离前后像素数据逐字节一致并有指纹自证。纯 Python 标准库、默认离线、退出码即结论，可直接进 CI/发布门禁。含 85 项自检与真机运行记录。

零依赖合成测试数据生成器：给字段定义即可产出可复现的数据，同 seed 输出逐字节一致，适合夹具、Demo、CI 断言。内置 20 种字段类型（中文姓名/公司/订单号/金额/时间/枚举等），支持 CSV/JSON/JSONL/SQL 输出；--edge 注入空值、极值、超长、SQL 与 CSV 公式注入载荷，用来压测校验与转义逻辑。只产出合成数据，不生成身份证/银行卡等实名标识，含 26 项自检。

零依赖文本去重工具箱：用字符 n-gram + Jaccard 找出近似重复的文件（中文免分词），输出重复分组、两两相似度与去重清单。支持目录批量扫描、编码混杂（UTF-8/GB18030）、长度悬殊剪枝、可调阈值，结果可复算、可写成 JSON 报告。纯标准库实现，无需联网与 API Key，含 15 项交付前自检（退出码即结论）。

一眼看清项目依赖的真实健康度：解析 requirements.txt/package.json/pyproject.toml/go.mod/Cargo.toml 等六类清单，查出未锁定版本、同一包被声明两个版本的跨清单冲突、GPL/AGPL 等强传染许可证与商用受限组件，以及出过供应链事故或已废弃的包；按风险权重给出 A-F 评分、扣分明细与升级优先级，可输出 Markdown/HTML 报告贴进工单或 CI 卡点。纯标准库离线运行，只读不改，不需 API Key。