用途：该技能聚焦“缺失输入验证”这一安全反模式（CWE-20，严重级别高），适用于在生成或审查处理用户输入、表单数据、API 参数等代码时，识别并避免因未验证外部数据而引入的安全漏洞。
主要能力：说明缺失输入验证会如何导致 SQL 注入、跨站脚本（XSS）、命令注入和路径遍历等攻击；强调所有传入数据都应视为不可信，需按类型、长度、格式和范围进行严格校验；提供“坏代码”与“好代码”对照示例，展示直接拼接用户输入到 SQL 查询的风险，以及使用白名单校验和参数化查询的修复方式。
使用方式：在代码生成或代码审查流程中应用“先验证、再执行”原则。检测时追踪 HTTP 请求数据（URL 参数、POST 体、请求头、Cookie）在代码中的流向，确认使用前是否验证；查找仅有客户端验证而无服务端等价校验的情况；识别缺少类型、长度、格式或范围检查的输入处理。预防措施包括：服务端验证（客户端验证只提供用户体验，不提供安全）、使用已知良好值的白名单而非黑名单、多层验证（类型、长度、格式、范围）、对 JSON/XML 使用 Pydantic、JSON Schema 或 Marshmallow 等模式校验库。
适用场景：Web API、表单处理、数据库查询、命令执行、文件路径处理等任何接收外部输入的代码场景。
限制：资料未提供该技能的具体安装命令、运行环境、平台支持、收费方式或效果数据，这些信息暂未提供。相关参考包括 OWASP Top 10 A05:2025 注入、OWASP GenAI LLM05:2025、OWASP API Security API8:2023、OWASP 输入验证备忘单、CWE-20 和 CAPEC-153。