用途：该技能为漏洞报告建立严格的验证标准，核心政策是“无利用不报告”（No Exploit = No Report），没有可复现 PoC 的发现一律丢弃，不接受理论性发现，也不允许仅凭扫描器输出作为证据，必须人工验证。
主要能力：规定 PoC 构造必须包含的字段，包括 ID、漏洞类型（CWE-XXX）、平台（backend/frontend/mobile-ios/mobile-android）、组件（file:line 或 endpoint）、严重级别与 CVSS、OWASP 映射，以及前置条件、复现步骤、可复制粘贴的 Payload、证据（响应体、状态码、返回数据）、影响与影响范围、具体修复方案。
验证门：分为已确认（PoC 可复现且影响已证明，纳入报告）、有条件（需特定配置/时序/竞态，附条件纳入）、未确认（尝试 3 次仍无法复现则丢弃）、降级（影响部分或存在缓解控制，下调严重级别）。
误报过滤：报告前需做快速检查，包括仅 SAST 发现时追踪完整数据流确认可达性、扫描器噪声是否已有 WAF/中间件/框架默认等补偿控制、CVE 版本是否与实际使用函数匹配（可达性分析）、客户端绕过是否服务端仍正确强制。
反模式：禁止夸大严重级别（缺失响应头不等于 Critical，CVSS 须与已证明影响一致）、禁止重复发现（同一根因跨多个端点合并为一条并列出受影响组件）、禁止无具体性的修复建议（须给出受影响文件的确切代码改动）。
适用场景：安全审计、渗透测试、漏洞赏金与代码审查中的发现验证与报告撰写。
限制：资料未提供具体安装命令、运行方式、支持平台或收费信息；相关平台专用过滤与 PoC 模板需参考其 false-positive-checklist 与 Exploit Playbook。