该技能用于构建或审计 API 表层，规则按主题拆分为可单独加载的文件，窄问题只需读取相关文件，不必通读全部。
用途与主要能力：涵盖 REST 资源建模、方法与状态码、游标分页、过滤、幂等键、ETag、RFC 9457 错误；版本与契约演进（URL/Header 版本、Sunset/Deprecation、CI 破坏性变更门禁）；GraphQL（空值、连接、N+1、成本限制、授权）；gRPC/protobuf（字段号演进、deadline 传播、流式、错误详情及协议选型）；实时（WS/SSE/WebTransport 选择、升级鉴权、心跳、断线重连与恢复、背压、关闭码）；Webhook（HMAC 签名、重放防护、重试、幂等消费、出站 SSRF 防护）；以及跨领域安全运维（鉴权方案、限流 429/Retry-After、配额、请求大小限制、CORS、审计日志、多租户隔离）。
使用方式：分 BUILD 与 AUDIT 两种模式。BUILD 时先选定协议（默认服务间 gRPC、边缘 REST、多客户端形态差异用 GraphQL、服务端推送用 SSE、仅真双向用 WS），契约先行写 OpenAPI/SDL/proto，再设计错误形状、分页与命名，并同步构建失败路径，最后对照各文件审计清单自检。AUDIT 时先界定范围并加载匹配规则，逐项依据实际代码与规范核对（路由、中间件、错误处理、分页查询、proto 历史、WS 连接处理、Webhook 分发、网关限流配置），重点排查缺失对象级授权（BOLA）、大表偏移分页、200 返回错误体、缺失 deadline、无界发送缓冲、未签名 Webhook、出站 SSRF、反射 Origin 的 CORS、从请求体取租户 ID 等典型缺口。
输出格式与限制：发现按 Critical/High/Medium/Low 分级，采用固定字段（Where、Rule、Issue、Impact、Fix），按严重度排序，一因一报，无代码或规范证据不得臆测。资料未提供各规则文件的完整原文内容，也未提供许可证、价格与依赖安装信息。