用途：该技能用于为 Web 应用或 API 生成可运行的安全测试代码，而非仅报告扫描结果。它主动探测端点，覆盖 SQL 注入、XSS、CSRF、认证绕过、路径遍历、SSRF、批量赋值等漏洞，并将每个测试用例映射到 CWE 与 OWASP Top 10:2021 标准。
主要能力：生成 jest+supertest（JavaScript/TypeScript）或 pytest+requests（Python）测试；若未识别框架，则输出基于 bash+curl 的脚本。每个测试包含描述性名称（含漏洞类型与 CWE ID）、构造恶意载荷、发送请求、断言应用拒绝载荷（状态码应为 400/403/422，而非 200/302；响应体不得包含注入内容），并附 CWE 与 OWASP 注释。
使用方式：先检测项目语言与框架——package.json 含 express/fastify/koa/hapi 时用 jest+supertest，输出到 tests/security/；含 flask/django/fastapi/starlette 时用 pytest+requests，输出到 tests/security/；无识别框架时输出 tests/security/security_tests.sh。测试框架由用户自行在项目中安装，本技能不依赖外部 CLI 工具。
适用场景：用户要求生成安全测试、漏洞测试、渗透测试风格测试、OWASP Top 10 测试、SQL 注入测试，或为新增 API 端点补充安全回归覆盖时。
限制：不用于静态分析扫描、加密审计、CI/CD 流水线搭建或纯概念问答；项目无 Web 端点或 API 路由时不适用。仅当请求是生成可执行安全测试代码时才触发，出现安全关键词本身不构成触发条件。具体收费、价格、平台支持等信息暂未提供。