用途：用于对 Web 应用、API 和基础设施开展安全审计与渗透测试，覆盖漏洞评估、安全扫描和修复加固。适用场景包括 Web 应用安全审计、API 安全测试、渗透测试、漏洞扫描、应用安全加固以及合规安全评估。
工作流分为七个阶段。侦察阶段调用 scanning-tools、shodan-reconnaissance、top-web-vulnerabilities，确定目标范围、收集情报、梳理攻击面并识别技术栈。漏洞扫描阶段调用 vulnerability-scanner、security-scanning-security-sast、security-scanning-security-dependencies，运行自动化扫描、静态分析与依赖扫描，发现配置错误。Web 应用测试阶段覆盖注入、XSS、认证、IDOR、路径遍历和 Burp Suite 测试。API 安全测试阶段进行端点枚举、认证授权、速率限制、输入校验与错误处理测试。渗透测试阶段调用 pentest-commands、pentest-checklist、ethical-hacking-methodology、metasploit-framework 规划并执行攻击场景。加固阶段实施安全控制、配置安全头、设置认证授权与日志。报告阶段输出发现、风险等级、修复建议及执行摘要。
使用方式以技能提示词调用为主，例如 Use @scanning-tools to perform initial reconnaissance、Use @sql-injection-testing to test for SQL injection vulnerabilities、Use @api-fuzzing-bug-bounty to fuzz API endpoints、Use @pentest-checklist to plan penetration test、Use @security-scanning-security-hardening to harden application security。
质量门要求所有计划测试执行完毕、漏洞有记录、概念验证可复现、风险评估完成、提供修复步骤并生成报告。检查清单涵盖 OWASP Top 10 与 API 安全项。工具的具体安装命令、收费与价格暂未提供。限制：仅应针对已获授权的目标使用；实际效果取决于目标环境与所用工具，资料未给出具体平台与版本要求。