用途：该工作流用于对 Web 应用、API 和基础设施开展安全审计，涵盖渗透测试、漏洞评估、安全扫描与修复加固，也可用于合规安全评估。
主要能力：按七个阶段组织。一、侦察：调用 scanning-tools、shodan-reconnaissance、top-web-vulnerabilities，确定目标范围、收集情报、绘制攻击面并识别技术栈。二、漏洞扫描：调用 vulnerability-scanner、security-scanning-security-sast、security-scanning-security-dependencies，执行自动化扫描、静态分析与依赖扫描，识别错误配置。三、Web 应用测试：调用 top-web-vulnerabilities、sql-injection-testing、xss-html-injection、broken-authentication、idor-testing、file-path-traversal、burp-suite-testing，测试注入、认证、会话管理、访问控制、输入校验与安全响应头。四、API 安全测试：调用 api-fuzzing-bug-bounty、api-security-best-practices，枚举端点并测试认证授权、限流、输入校验与错误处理。五、渗透测试：调用 pentest-commands、pentest-checklist、ethical-hacking-methodology、metasploit-framework，规划并执行攻击场景、利用漏洞、记录概念验证并评估影响。六、安全加固：调用 security-scanning-security-hardening、auth-implementation-patterns、api-security-best-practices，实施安全控制、配置响应头、设置认证授权、配置日志并打补丁。七、报告：调用 reporting-standards，记录发现、评估风险等级、给出修复步骤并生成执行摘要与技术报告。
使用方式：以技能调用提示触发各阶段，例如 Use @scanning-tools to perform initial reconnaissance、Use @vulnerability-scanner to scan for OWASP Top 10 vulnerabilities、Use @sql-injection-testing to test for SQL injection vulnerabilities、Use @api-fuzzing-bug-bounty to fuzz API endpoints、Use @pentest-checklist to plan penetration test、Use @security-scanning-security-hardening to harden application security。
适用场景：Web 应用与 API 安全审计、渗透测试、漏洞扫描、安全加固与合规评估。
限制：资料未提供具体安装命令、收费方式、支持平台与运行环境要求；实际使用需具备相应技能与授权，测试目标须获得合法许可。