用途
该技能用于让 Claude 主动识别并报告代码库中的 XSS（跨站脚本）漏洞，帮助 Web 应用抵御常见 XSS 攻击向量。适用于对 Web 应用做安全审计、审查代码中的潜在 XSS、验证是否符合安全标准、测试内容安全策略（CSP）的有效性，以及在生产部署前发现并缓解 XSS 漏洞。
主要能力
- 上下文感知分析：在不同上下文（HTML、JavaScript、CSS、URL）中识别潜在 XSS 漏洞。
- 多类型检测：通过注入多种 payload 并分析响应，检测反射型、存储型和 DOM 型 XSS。
- WAF 绕过测试：资料提及使用包括 WAF 绕过测试在内的检测技术。
- 报告输出：生成报告，标明已识别漏洞及其在代码中的位置，并给出建议的修复步骤。
使用方式
通过特定触发短语激活，例如“scan for XSS”，或使用快捷指令 /xss。激活后，插件会分析代码库、检测漏洞并生成报告。示例：用户请求“scan for XSS vulnerabilities in the search functionality”时，技能会分析搜索功能相关代码，识别搜索查询展示方式中的反射型 XSS，并报告受影响代码片段及使用恰当清洗的修复建议；用户请求“/xss check the comment submission form”时，技能会分析评论提交表单及其后端代码，检测用户评论未经清洗即存入数据库的存储型 XSS，指出未清洗的评论存储并建议使用 sanitizeHtml 之类的清洗库。
适用场景
Web 应用安全审计、代码审查、安全合规检查、CSP 有效性测试、上线前漏洞排查。该技能可与其他安全类插件配合，提供针对性的 XSS 检测；也可与代码审查工具集成，自动化安全检查并向开发者即时反馈潜在 XSS 问题。
最佳实践与限制
资料给出的最佳实践包括：在页面展示用户输入前始终进行清洗，针对具体上下文（HTML、JavaScript、URL）使用相应的转义函数；实施强 CSP 限制浏览器可加载资源的来源，以降低 XSS 影响；保持 Web 应用框架与库更新以修补已知 XSS 漏洞。资料未提供该技能的安装命令、具体实现细节、支持的平台范围、性能表现或收费信息。