用途：探测目标站点上不应在生产环境启用的 HTTP 方法，包括 TRACE（XST 跨站追踪）、未受限的 PUT/DELETE、DEBUG/CONNECT 以及 WebDAV 相关方法（PROPFIND/MKCOL/COPY/MOVE）。每种被启用但应用未使用的方法都构成额外攻击面。
主要能力：脚本会探测一组规范方法，并按存在情况与返回状态分级。例如 TRACE 返回 200 且回显请求、非 API 路径上 PUT 返回 200/201/204、DELETE 返回 200/204、CONNECT 返回 200（可被滥用为代理访问内部服务）、DEBUG 返回响应、任一 WebDAV 方法返回 207 或 201，均会触发相应级别的发现；OPTIONS 的 Allow 头披露未使用方法或完整枚举方法则记为低危。
使用方式：需 Python 3.9+，并对非本地目标取得授权。先确认授权，再运行命令：
python3 ${CLAUDE_PLUGIN_ROOT}/skills/probing-dangerous-http-methods/scripts/probe_methods.py
https://example.com
--authorized
可用选项：--authorized（必填，声明已获授权）、--output FILE、--format FMT（json/jsonl/markdown，默认 markdown）、--min-severity SEV、--timeout SECS、--is-api（将 URL 视为 API 端点，放宽 PUT/DELETE 检查）。输出支持 JSON、JSONL、Markdown。返回 405 视为正常行为，403 视为已受访问控制但记录 INFO，500 记录 INFO 指出错误处理问题，连接错误退出码为 2。
适用场景：部署后方法面审计、发现 XSS 后检查 XST 链条是否可行、并购域名重新指向 DNS 前的快速方法面检查等。
限制：需获得对非本地目标的明确授权；未提供关于具体支持平台、价格或更多实现细节的信息。