用途
Web Application Security Testing 是一个面向 Web 应用安全评估的技能，用于让 Claude 协助完成 OWASP Top 10 评估、注入测试、API 安全测试、认证分析、客户端安全审查，并生成结构化的漏洞报告。技能说明中明确要求：所有测试必须仅在已获授权的目标上执行，测试前需确认范围并取得书面授权。
主要能力
OWASP Top 10 评估
技能按 A01 至 A10 逐项给出评估方向，包括：失效的访问控制（IDOR、路径遍历、强制浏览、权限提升）、加密失败（TLS 审计、敏感数据暴露、弱算法）、注入（SQLi、NoSQLi、OS 命令、LDAP、SSTI）、不安全设计、安全配置错误、易受攻击的组件、认证与身份识别失败、软件与数据完整性、日志与监控失败、SSRF。
注入测试
技能提供输入点发现方法（GET/POST 参数、URL 路径段、HTTP 头、JSON/XML 字段、GraphQL 变量、文件上传名与元数据），并给出 SQL 注入的分步方法（检测、数据库指纹识别、授权 PoC 提取）、SQLi 载荷库、XSS 测试方法（反射点定位、上下文判断、过滤绕过）、命令注入分隔符与盲测方式、SSRF 测试步骤（内网资源、云元数据、过滤绕过）、SSTI 通用探测与各引擎确认路径。
API 安全测试
提供 API 测试清单，覆盖认证（缺失认证、JWT 校验、API 密钥位置、Basic 认证）、授权（BOLA、批量赋值、功能级访问）、输入校验（SQL 注入、JSON 注入、速率限制、请求体模式）、数据暴露（敏感字段、越权 PII、错误信息、调试端点）。还包含 GraphQL 专项测试（内省、批量查询滥用、循环查询 DoS）与 JWT 分析命令（解码、alg:none、算法混淆、弱密钥爆破）。
认证与会话测试
涵盖会话令牌熵检查、会话管理（登出失效、改密失效、并发限制、会话固定、Cookie 标志、SameSite）、密码安全（复杂度、锁定、日志暴露、重置链接）、OAuth 2.0 测试（state 参数、重定向 URI 校验、授权码复用、PKCE、客户端密钥暴露、scope 校验）。
安全响应头与 CORS 评估
列出需检查的响应头（HSTS、CSP、X-Content-Type-Options、X-Frame-Options、Referrer-Policy、Permissions-Policy、Cache-Control），并给出 CORS 错误配置的三种测试方式（任意 Origin 反射、null Origin、子域绕过）。
漏洞报告
提供报告模板，包含 ID、严重级别、CVSS v3.1、CWE、OWASP 分类、受影响端点、描述、复现步骤、影响、证据与修复建议。
使用方式
技能在用户询问 OWASP Top 10 测试、注入测试、API 安全、认证绕过、WAF 绕过（授权测试）、CORS/CSP/安全头分析、OAuth/OIDC 审查、JWT 分析、Burp Suite 或 OWASP ZAP 使用指导、Web 漏洞报告撰写等话题时激活。
依赖安装命令：
pip install requests beautifulsoup4 urllib3 lxml
推荐工具：Burp Suite Community/Pro、OWASP ZAP、sqlmap（仅限授权使用）、Nikto、ffuf / feroxbuster、jwt_tool。
脚本调用示例：
python scripts/owasp_scanner.py --url https://target.com --output report.json python scripts/owasp_scanner.py --url https://target.com --tests a01,a03,a07 python scripts/api_security_tester.py --spec openapi.yaml --base-url https://api.target.com --output results.json
适用场景
适用于已获授权的 Web 应用与 API 安全评估、渗透测试中的漏洞验证与报告撰写、安全响应头与 CORS 配置审查、认证与会话机制分析、JWT 与 OAuth 流程审查等场景。技能还说明了与相邻技能的衔接：侦察阶段发现 Web 应用可衔接侦察与 OSINT 技能，发现易受攻击组件可衔接漏洞扫描技能，确认漏洞后开发 PoC 可衔接漏洞利用开发技能，生成 CSOC 告警可衔接 CSOC 自动化技能。
限制
技能明确要求所有测试必须仅在已获授权的目标上执行，测试前需确认范围并取得书面授权。资料中未提供该技能的具体收费、价格、平台支持范围或效果保证等信息。