用途：security-audit 是一个综合安全审计工作流技能包，面向 Web 应用、API 与基础设施，编排渗透测试、漏洞评估、安全扫描与修复相关技能。适用场景包括对 Web 应用做安全审计、测试 API 安全、开展渗透测试、扫描漏洞、加固应用安全以及合规安全评估。
主要能力按阶段组织：侦察阶段调用 scanning-tools、shodan-reconnaissance、top-web-vulnerabilities，用于确定目标范围、收集情报、绘制攻击面并识别技术栈；漏洞扫描阶段调用 vulnerability-scanner、security-scanning-security-sast、security-scanning-security-dependencies，执行自动化扫描、静态分析与依赖扫描；Web 应用测试阶段覆盖 OWASP 漏洞、SQL 注入、XSS、认证缺陷、IDOR、路径遍历与 Burp Suite 测试；API 安全阶段调用 api-fuzzing-bug-bounty 与 api-security-best-practices，枚举端点并测试认证授权、限流、输入校验与错误处理；渗透测试阶段调用 pentest-commands、pentest-checklist、ethical-hacking-methodology、metasploit-framework；加固阶段调用 security-scanning-security-hardening、auth-implementation-patterns、api-security-best-practices；报告阶段调用 reporting-standards 输出发现、风险等级与修复建议。
使用方式：资料给出以 @技能名 形式调用的提示词，例如“Use @scanning-tools to perform initial reconnaissance”“Use @sql-injection-testing to test for SQL injection vulnerabilities”“Use @pentest-checklist to plan penetration test”。资料未提供安装命令、具体配置或运行环境要求。
限制：资料未说明收费、价格、平台支持、实际效果或性能数据；工作流包含渗透测试与漏洞利用内容，应在获得授权的前提下使用。质量门禁要求所有计划测试执行完毕、漏洞有记录、有概念验证、完成风险评估、提供修复步骤并生成报告。