输入一个公开仓库地址，扫描其中的密码算法与密码库使用，输出 CBOM / SARIF。 源码级判定目前只覆盖 Java；依赖清单（pom/gradle/go.mod/pip/npm/cmake/vcpkg/conan）与 证书/私钥文件是多生态的。代码只在临时目录里存在，扫描结束立即删除。
→ 先看三份真实项目的公开诊断报告 （工具原样输出，可自己复扫对比）
只接受 https:// 的公开仓库；单次最多 120 MB / 2 万文件；每 IP 每小时 5 次。
https://