用途：这是防御性安全工作的总入口（编排器），用于对用户自有或已书面授权测试的应用进行安全测试、渗透测试、审计与漏洞挖掘。它本身是路由器，不替代被它调用的专项技能。
核心原则：攻击者以路径思考，防御者以清单思考；防御者必须处处正确，攻击者只需一个薄弱环节，因此要追路径。
强制流程：先确认授权门槛——所有权或书面许可、目标环境限于实验室/预发/本地（而非第三方生产）、明确排除破坏性操作、DoS 与真实用户数据外泄。任一答案不清或为“否”时立即停止，仅对用户可控代码做代码审计。绝不测试未获书面授权的第三方系统。
生命周期依次为：RECON→recon-and-osint；PLAN→threat-modeling；FIND/EXPLOIT→各专项技能；CHAIN→vulnerability-chaining；FIX→security-hardening；REPORT→pentest-reporting。必须通过 Skill 工具实际调用各阶段技能，仅阅读路由表摘要不算覆盖。专项技能按测试对象选择：access-control-testing、authentication-testing、business-logic-testing、api-security-testing、client-side-exploitation、injection-testing、file-upload-and-ssrf、secrets-management-audit；横切助手为 security-code-audit（静态白盒）与 active-pentest（动态执行）。
按暴露面路由，目标有什么测什么：浏览器 UI/前端 JS、登录账户令牌、已认证多用户数据、API（REST/GraphQL/gRPC/WS）、注入汇点、文件上传/URL 抓取/反序列化、工作流与金额配额等，各自对应专项技能；不存在则标记 N/A 跳过。无对应专项技能的暴露面应显式标为 GAP，改用通用静态+动态方法并建议新专项。
覆盖报告要求诚实：仅当通过 Skill 工具调用才标 ✓，凭记忆套用方法写“methodology-only”，不相关写“N/A — ”；不得用 ✓ 表示“做了类似工作”。
输出包括：排序后的威胁模型、发现登记表（严重度、文件:行号、可利用原因、状态）、高危项已验证 PoC、已应用修复及复测闭环确认。
常见错误：只读路由表而不调用技能、跳过威胁建模、无授权却审计在线系统、只找不修不复测。