Web/API audit（Web 与 API 安全审计）

该 skill 只提供测试计划和无害验证框架，不提供任意 payload、绕过技巧、爆破、数据导出或远程执行链。

可选 technique

• tls_http_baseline：状态码、响应头、TLS/证书摘要。
• api_schema_review：对操作者已取得的 OpenAPI/GraphQL 摘要做静态检查。
• access_control_matrix：设计两个自有测试账号的角色×资源×动作矩阵；不读取真实用户数据。
• cors_csrf_canary：只做 OPTIONS/GET 的 Origin/方法差异观察。
• xss_reflection_canary：使用每次唯一的 inert marker；不执行脚本、不持久化。
• websocket_handshake_review：只审查握手元数据；不发送业务消息。
• business_logic_sandbox、race_sandbox：仅生成隔离实验室用例，不连接生产系统。

固定控制

• 每次先 scan_plan，再 probe_safe(dry_run=true)；主动调用需要人工 approval_token。
• 每主机串行、至少 1 秒间隔、有限响应字节和 5 秒超时；不跟随越界重定向。
• 禁止 Cookie、Authorization、API key、密码、OOB 回连、真实数据读写、写方法和任意 URL/命令。
• 以响应差异和脱敏证据为依据；只有完整、可复核的影响才进入报告，单纯状态码或版本信息标为 needs_review。