用途：vulnerability-scanner 是一个漏洞扫描类工作流技能，面向需要按高级漏洞分析原则开展安全评估的场景，核心思路是“像攻击者一样思考，像专家一样防御”，并强调 2025 年威胁态势意识。其覆盖主题包括 OWASP Top 10:2025、供应链安全（A03）、攻击面映射与风险优先级排序。
主要能力：源自上游工作流，包含安全专家思维准则（Assume Breach、Zero Trust、Defense in Depth、Least Privilege、Fail Secure）、威胁建模问题，以及 OWASP Top 10:2025 分类（如 A01 越权访问、A02 安全配置错误、A03 软件供应链、A04 加密失败、A05 注入、A06 不安全设计、A07 认证失败、A08 完整性失败、A09 日志与告警、A10 异常条件）。还涉及供应链攻击面（依赖、锁文件、构建流水线、注册表）、攻击面映射（入口点、数据流、信任边界、资产）、基于 CVSS 与 EPSS 的风险优先级决策，以及代码高风险模式和密钥模式识别。支撑文件包含 checklists.md（OWASP、认证、API、数据保护清单）与 scripts/security_scan.py。
使用方式：资料给出的运行命令为 python scripts/security_scan.py <project_path>，用于验证安全原则的应用情况。工作流本身强调先确认目标与范围，再阅读来源信息与必要支撑文件，只加载会实质影响结果的引用、示例或脚本，执行上游工作流并保留来源边界，最后按上游预期与可指证的证据进行验证。还提供与 @vulnerability-scanner 相关的调用示例，如直接请求处理任务、基于来源信息做审查、缩小支撑文件范围后再执行、构建审查包等。
适用场景：需要高级漏洞分析、OWASP 2025 对齐、供应链安全评估、攻击面梳理、风险优先级排序与漏洞报告编写的安全评审或审计任务。
限制：资料未提供具体安装命令、价格、平台支持或效果保证。该技能要求任务与所述范围明确匹配，输出不能替代针对具体环境的验证、测试或专家审查；若缺少必要输入、权限、安全边界或成功标准，应停止并请求澄清。除已列文件外，其余资源（references、examples、agents、assets）在资料中标注为 n/a。