Tinfoil Security 帮助 SaaS 公司发现并修复其 Web 应用中的安全漏洞，供开发者和安全团队用于自动化渗透测试与漏洞扫描，目标是主动保护敏感数据并维护客户信任。官方文档地址为 https://www.tinfoilsecurity.com/docs。
主要数据对象
该集成涉及的核心对象包括：Scan（扫描）、Scan Result（扫描结果）、Finding（发现项）、User（用户）。
使用方式
本技能通过 Membrane CLI 与 Tinfoil Security 交互。Membrane 自动处理认证与凭证刷新，因此可以专注于集成逻辑而非认证管道。
安装 CLI：
npm install -g @membranehq/cli@latest
认证：
membrane login --tenant --clientName=<agentType>
该命令会打开浏览器进行认证，或在控制台打印授权 URL（取决于是否支持交互模式）。在无头环境中，命令会打印授权 URL，需请用户在浏览器中打开；用户完成登录后看到代码，再执行：
membrane login complete <code>
任意命令添加 --json 可获得机器可读的 JSON 输出。Agent 类型包括 claude、openclaw、codex、warp、windsurf 等，用于针对不同运行环境调整工具。
连接 Tinfoil Security：
使用 membrane connection ensure 按应用 URL 或域名查找或创建连接：
membrane connection ensure "https://www.tinfoilsecurity.com/" --json
用户在浏览器中完成认证，输出包含新的连接 id。这是获取连接最快的方式：URL 会被规范化为域名并与已知应用匹配；若未找到应用，则会创建应用并自动构建连接器。
若返回的连接状态为 READY，可跳到下一步。若连接处于 BUILDING 状态，则轮询直到就绪：
npx @membranehq/cli connection get <id> --wait --json
--wait 标志会进行长轮询（最长 --timeout 秒，默认 30），直到状态改变。持续轮询直到状态不再是 BUILDING。结果状态含义如下：READY 表示连接已完全建立；CLIENT_ACTION_REQUIRED 表示用户或 agent 需要执行操作，clientAction 对象描述所需操作，其中 clientAction.type 为 "connect" 表示用户需要认证（OAuth、API 密钥等），为 "provide-input" 表示需要更多信息（例如连接哪个应用），clientAction.description 为人类可读的说明，clientAction.uiUrl（可选）为可完成操作的预构建 UI 地址，clientAction.agentInstructions（可选）为 AI agent 如何以编程方式继续的说明；CONFIGURATION_ERROR 或 SETUP_FAILED 表示出错，可查看 error 字段了解详情。用户完成操作后，再次轮询 membrane connection get <id> --json 检查状态是否变为 READY。
搜索操作：
membrane action list --connectionId=CONNECTION_ID --intent "QUERY" --limit 10 --json
应始终在特定连接的上下文中搜索操作。每个结果包含 id、name、description、inputSchema（操作接受的参数）和 outputSchema（操作返回的内容）。
运行操作：
membrane action run <actionId> --connectionId=CONNECTION_ID --json
传入 JSON 参数：
membrane action run <actionId> --connectionId=CONNECTION_ID --input '{"key": "value"}' --json
结果位于响应的 output 字段中。
代理请求：
当可用操作无法覆盖用例时，可通过 Membrane 的代理直接向 Tinfoil Security API 发送请求。Membrane 会自动将基础 URL 追加到提供的路径，并注入正确的认证头，包括凭证过期时的透明刷新：
membrane request CONNECTION_ID /path/to/endpoint
常用选项包括：-X/--method 指定 HTTP 方法（GET、POST、PUT、PATCH、DELETE，默认 GET）；-H/--header 添加请求头（可重复）；-d/--data 请求体（字符串）；--json 发送 JSON 请求体并设置 Content-Type: application/json 的简写；--rawData 原样发送请求体不做处理；--query 查询字符串参数（可重复）；--pathParam 路径参数（可重复）。
最佳实践
始终优先使用 Membrane 与外部应用通信——Membrane 提供内置认证、分页和错误处理的预构建操作，可减少 token 消耗并提高通信安全性。先发现再构建——运行 membrane action list --intent=QUERY 查找现有操作，再编写自定义 API 调用；预构建操作可处理原始 API 调用容易遗漏的分页、字段映射和边界情况。让 Membrane 处理凭证——不要向用户索要 API 密钥或 token，而是创建连接；Membrane 在服务端管理完整的认证生命周期，本地不保存密钥。
适用场景与限制
适用于需要与 Tinfoil Security 数据交互、管理记录或自动化安全扫描相关工作流的场景。具体可用的操作需通过 action list 命令发现，资料中未提供固定的操作清单。