用途：本技能通过 Admin MCP 的读取类工具收集 Kuroco 站点配置，对照 references/checklist.md 输出诊断发现，用于检查管理后台可配置项中的设置错误、权限过大与策略过弱问题。它不进行漏洞扫描或渗透测试，也绝不修改配置。
主要能力：审查 API 安全方式、CORS、IP 地址限制、登录与密码策略、两步验证（一次性密码）、权限组与超级用户清单等项目；对配置值与推荐值逐项比对，给出风险严重度与处置建议；对 MCP 无法取得的项目整理为“手动确认清单”。
使用方式：先与用户确认审计范围（目标站点、确认类别、站点前提如公开媒体站/会员站/内部使用、报告输出位置）。随后先调用 whoami 确定连接上下文，再盘点可用的读取工具，并行收集配置，最后按检查清单判定并输出报告。推荐使用带 /readonly 的作用域 URL，如 https://{site}.g.kuroco.app/direct/rcms_api/admin_mcp/x/all/readonly；跨模块审计通常 scope 用 all。
判定分为“需处理、需讨论、无问题、手动确认”，严重度以检查清单默认值为起点，再按站点前提调整并写明理由。列表获取应指定 cnt，避免全量导出。
限制：不调用写入类工具（create / update / delete / bulk_*），修正需切换到 /kuroco-admin-mcp 并另行获得用户批准；不使用 curl、浏览器或 shell 等绕过 MCP 权限与审计的路径；不输出令牌、密钥、密码的实际值，仅报告数量、有效期与创建时间；报告文件保存须获得用户明确同意；成员与登录历史仅取必要最少信息，调用前用 columns 限定字段；审计结果不含站点自定义实现（前后处理、自定义函数、批处理）的风险，报告须声明覆盖范围为已知配置项。