用途：审查跨源资源共享（CORS）配置中的安全错误配置，识别可能导致未授权跨源访问的问题。
主要能力：扫描 Access-Control-Allow-Origin、cors() 中间件、@CrossOrigin 注解、CORS 策略构建器及 nginx/Apache 头指令；检测通配符来源（与 Allow-Credentials: true 组合时标为高危）、来源反射（CWE-942，严重）、允许列表是否使用精确匹配而非易被绕过的子串或正则；评估 Allow-Methods、Allow-Headers、Expose-Headers 与 Max-Age 的合理性；对在线端点用 WebFetch 发送不同 Origin 的预检请求验证实际行为；输出配置清单、分级发现报告（含 CWE 与 OWASP OTG-CLIENT-007 映射）及框架级修复示例。
使用方式：需能访问目标代码库与配置文件（位于 ${CLAUDE_SKILL_DIR}/），在线测试需 WebFetch 可用且目标可达，并熟悉所用框架（Express、Django、Flask、Spring、ASP.NET 等）。参考 ${CLAUDE_SKILL_DIR}/references/README.md 获取规范细节与漏洞模式。
适用场景：代码审计、API 安全评审、上线前配置核查。
限制：CORS 若在 CDN 或 API 网关层处理，需另行检查基础设施配置；WebFetch 被阻断时回退到静态分析；简单请求不触发预检，需用自定义头强制预检；动态来源校验若使用安全允许列表可能产生误报，应标记为信息级。具体收费与平台支持情况暂未提供。