用途：在渗透测试或安全评估的开始阶段，先发现应用真正暴露的攻击面，再决定测试什么。资料强调威胁建模假设一个面，而侦察负责发现它；多数入侵始于被防御者遗忘的资产。
主要能力按被动到主动推进：被动足迹（搜索引擎、证书透明度、公开代码、泄露数据、DNS记录、存档页面，不向目标发包、噪音最小）；资产发现（子域、IP段、云存储桶、关联域、被遗忘的测试环境）；服务与技术指纹（运行内容、版本、框架与CMS）；内容发现（隐藏端点、目录、API路由、JS中引用的URL与参数）；泄露与暴露搜寻（公开仓库、粘贴站、JS包、存档中的密钥与令牌）；最后汇总为可被威胁模型排序的目标清单。资料还给出速查来源：子域用crt.sh、subfinder、amass、DNS爆破；被遗忘资产看staging/dev旧子域、S3/GCS/Azure桶、Wayback存档；技术栈用whatweb、wappalyzer、响应头、favicon哈希、JS库；端点参数用gau/waybackurls、JS解析、katana、robots/sitemap、Swagger/GraphQL；泄露密钥用GitHub/Gist dorking、trufflehog/gitleaks、粘贴站；凭据暴露查泄露语料库（防御视角：了解攻击者已知什么）。
使用方式：遵循被动优先、主动在后的顺序；具体工具与每步命令见 references/recon-playbook.md。产出格式为含资产、类型、技术、备注、暴露度的目标清单，例如 api.example.com（API主机，Node/Express，Swagger暴露，public）、staging.example.com（Web，旧构建，debug=on，应为内部）。清单交给威胁建模排序，再进入 security-code-audit 或 api-security-testing。
限制与授权：仅枚举自己拥有或明确获授权测试的资产；对自身组织的被动OSINT始终安全，主动扫描与爆破要求资产在范围内。常见错误：跳过被动侦察直接扫描、只枚举主域、忽略JS包、测试已发现但未授权的资产——发现不等于许可。具体命令与工具细节以 playbook 为准，此处暂未提供。