用途：当浏览器可以跨域访问已认证 API 时，使用本技能排查 CORS（跨域资源共享）配置错误，重点覆盖 Origin 反射、带凭据请求、通配符信任、解析器错误和 Origin 白名单绕过。
主要检查项：Access-Control-Allow-Origin 与凭据同时配置或行为异常、服务器回显任意 Origin、白名单后缀/前缀/子串/正则/大小写匹配缺陷、接受 null Origin、预检方法或请求头过宽、内部或租户 API 可被跨域读取。
使用方式：发送构造的 Origin 请求头并观察是否被反射；分别测试带与不带凭据的情况；用攻击者子域和解析器边界情况探测白名单绕过；若可读取敏感数据，则结合账号或租户影响评估。技能还给出 null Origin 利用、子域 XSS 到 CORS 绕过链、Vary: Origin 缓存问题、正则绕过模式与内网 CORS 利用等场景，并提供 curl 探测示例。
适用场景：浏览器可读取已认证 API 响应、JSON 端点看似防 CSRF 却可跨域读取、响应含 CORS 或预检响应头时。
限制：属于测试与审计用途的方法论，具体环境、平台与修复建议需结合实际目标判断；资料未提供收费、价格或效果承诺等信息。