用途：该技能用于扫描 API 安全漏洞，依据 OWASP API Security Top 10（2023）检查端点实现、认证流程与数据处理，发现注入向量、认证缺陷、过度数据暴露、批量赋值和限流缺失等问题。
主要能力：扫描全部路由定义，建立端点、HTTP 方法与中间件链清单；审计认证中间件，确认所有变更端点（POST/PUT/PATCH/DELETE）强制鉴权且无路由顺序绕过；检查对象级授权（BOLA），验证资源访问是否比对已认证用户身份与资源归属；对比响应序列化与 API 契约，标记返回完整数据库记录而非字段白名单的端点；检测请求体是否未经字段白名单直接传入 ORM 创建/更新调用；验证所有请求参数、查询串、头与字段的输入校验，检查 SQL/NoSQL/命令注入模式；审计限流配置；检查安全头（CORS、CSP、HSTS、X-Content-Type-Options），确认已认证端点未将 Access-Control-Allow-Origin 设为通配符；扫描依赖已知 CVE 并生成带严重级别的修复报告。
使用方式：需要可访问的路由定义与控制器/处理器源码、用于对照的 OpenAPI 规范，以及 OWASP API Security Top 10（2023）清单知识。动态测试工具如 OWASP ZAP、Burp Suite 或 nuclei，依赖扫描如 npm audit、safety、govulncheck。输出包括 security-scan.json、security-scan.md、endpoint-auth-matrix.md、data-exposure-audit.md，以及在代码中以内联 // SECURITY: 注释标记的漏洞。
适用场景：OWASP Top 10 合规审计、部署前安全门禁（Critical/High 阻断）、认证流程（登录、令牌签发、刷新、吊销）审查。
限制：可能对自定义认证装饰器产生误报；授权比较逻辑缺陷可能导致 BOLA 漏检；参数化查询可能掩盖拼接子查询中的注入；反向代理层配置的 CORS 可能被遗漏；大型依赖树可能导致依赖扫描超时。