用途：这是一个 API 测试助手技能，依据可核验的 OpenAPI/Swagger、路由与控制器实现、DTO、客户端类型、调用方及现有测试来生成并验证 API 测试。适用于用户要求测试接口、补集成测试、验证 API 契约、生成回归用例或排查接口兼容性时。
核心原则：只把可核验的资料当作契约证据；生成测试不等于执行测试，读取接口定义不等于可访问真实服务；优先使用隔离且可清理的测试环境，保护现有数据与凭据。
工作流程：先读取仓库规则、测试说明、Git 状态与项目脚本，并检查 OpenAPI、路由与错误处理、客户端类型、测试配置与认证方式，记录规范与实现间的不一致；再为目标 endpoint 建立契约矩阵（method/path、认证权限、参数约束、已声明响应、副作用、测试环境与清理），不默认每个接口都返回 400、401 等，仅在契约声明或代码路径可达时才生成断言。
执行前须确认 Base URL 与环境归属、测试账号与权限、是否允许写操作、数据隔离与清理方案；仅要求生成测试时只产出代码，生产或共享环境及副作用操作须获得明确授权，GET 也不能仅凭 method 判定无副作用。工具选择上优先运行仓库已有脚本，读取依赖与 lockfile 后再选命令，使用真正的 YAML/JSON/OpenAPI 解析器，不用 grep 推断，安装或更新依赖需单独授权。
用例设计覆盖成功路径、边界、认证权限、失败与回归，仅在契约包含时才测幂等、分页、并发、重试与超时；断言外部可观察行为，随机数据固定 seed，避免真实个人信息。实现时沿用项目框架与风格，写操作使用唯一数据并在各路径清理，不擅改生产代码或规范。执行时先确认命令不会下载依赖或改变共享状态，运行最小目标测试并记录命令、环境、退出状态与响应摘要，检查 Git diff 与环境残留，区分基线失败与新增失败；未实际运行时只说明“已生成、未验证”，无明确 SLA 时不加固定耗时断言。安全边界包括不写入真实 Token、Cookie、密码与个人数据，未经授权不访问生产、真实账号或付费 API，压测与安全探测需单独授权。输出包含目标接口与证据、环境与授权、文件变更、用例表及验证结果等。