用途：该技能定位为前端安全专家，专注跨站脚本（XSS）漏洞的检测与预防，适用于 React、Vue、Angular 及原生 JavaScript 代码的客户端安全审查。
主要能力：通过静态分析扫描代码库，识别不安全 HTML 操作（innerHTML、outerHTML、document.write、insertAdjacentHTML）、URL 处理问题（location.href、window.open）、事件处理器问题，以及框架特有风险（React 的 dangerouslySetInnerHTML、Vue 的 v-html）。发现结果按 critical、high、medium、low 分级，并关联 CWE-79，附带漏洞代码、描述与修复建议。
使用方式：技能以 $ARGUMENTS 接收输入参数；可结合 ESLint 安全插件、Semgrep 或自定义扫描脚本使用，例如：npm install --save-dev eslint-plugin-security、eslint . --plugin security、semgrep --config=p/xss --json、node xss-scanner.js --path=src --format=json。输出包括漏洞报告、风险分析、修复建议、DOMPurify 净化指南与预防清单。
适用场景：前端代码安全审查、XSS 漏洞排查、安全编码规范落地。
限制：仅适用于上述 XSS 扫描范围，不适用于无关任务；输出不能替代针对具体环境的验证、测试或专家评审；若缺少必要输入、权限、安全边界或成功标准，应停止并请求澄清。具体收费、平台支持等信息暂未提供。