用途：该工作流用于对 Web 应用开展安全测试，重点覆盖 OWASP Top 10 漏洞，包括注入攻击、XSS、身份认证缺陷和访问控制问题。适用场景包括 Web 应用安全测试、OWASP Top 10 评估、渗透测试、安全控制验证和漏洞赏金测试。
主要能力与阶段：
- 侦察：调用 scanning-tools 与 top-web-vulnerabilities，映射应用面、识别技术栈、发现端点与子域并记录结果。
- 注入测试：调用 sql-injection-testing 与 sqlmap-database-pentesting，测试 SQL、NoSQL、命令与 LDAP 注入。
- XSS 测试：调用 xss-html-injection 与 html-injection-testing，测试反射型、存储型、DOM 型 XSS 及过滤器。
- 身份认证测试：调用 broken-authentication，测试撞库、暴力破解防护、会话管理、密码策略与 MFA。
- 访问控制测试：调用 idor-testing 与 file-path-traversal，测试纵向/横向越权、IDOR 与目录遍历。
- 安全响应头：调用 api-security-best-practices，检查 CSP、HSTS、X-Frame-Options、X-Content-Type-Options 与 referrer policy。
- 报告：调用 reporting-standards，记录漏洞、评估风险、给出修复建议、创建 PoC 并生成报告。
使用方式：通过 @技能名 的提示词调用对应技能，例如 Use @scanning-tools to perform web application reconnaissance、Use @sql-injection-testing to test for SQL injection、Use @xss-html-injection to test for cross-site scripting、Use @broken-authentication to test authentication security、Use @idor-testing to test for insecure direct object references、Use @file-path-traversal to test for path traversal、Use @api-security-best-practices to audit security headers、Use @reporting-standards to create security report。
质量门：要求覆盖全部 OWASP Top 10、记录漏洞、留存 PoC、提供修复建议并生成报告。相关捆绑工作流包括 security-audit、api-security-testing 与 wordpress-security。
限制：资料未提供具体安装命令、收费方式、支持平台或实际效果说明，暂未提供。