用途：在设计或构建 HTTP API（REST，GraphQL 待决策）、为已有 API 增加端点，或按统一契约规范整理既有 API 时使用，以 OpenAPI 3.1 契约作为唯一事实来源，代码服从规范而非反过来。
主要能力：提供六步设计工作流；产出覆盖路径、模式、错误响应、限流响应头与示例的 OpenAPI 3.1 契约；产出鉴权模型（方法选择、角色/权限矩阵、令牌生命周期、吊销策略）、标准错误信封模型、幂等性映射（哪些端点需要 Idempotency-Key、作用域与 TTL）、可观测性说明（每端点 span 名称、SLO 类别、日志字段、审计事件），以及合并前实现检查清单。
必要用法：先加载 system-architecture-design（上下文图、关键流程表）与 database-design-engineering（访问模式、租户模型），再按任务只加载所需参考文档，例如绿地设计用 openapi-workflow.md，鉴权选择用 auth-and-security.md，URL/状态码评审用 rest-conventions.md。规范格式采用 skill-composition-standards/references/openapi-contract.md 的模板。
关键规则：租户范围只能从鉴权令牌推导，不得取自请求体或查询串；跨租户查询返回 404 而非 403；产生外部副作用的 POST（支付、邮件、Webhook、库存变动）必须要求 Idempotency-Key；破坏性变更必须发布新主版本，旧版本冻结仅修复缺陷；每端点须记录鉴权、错误码、限流、分页与可观测性说明；API Key 需以 SHA-256 哈希存储；CORS 不得用通配来源搭配 credentials。
适用场景：新服务定义 HTTP 接口、功能扩展端点、API 版本化与错误信封规范化、合作方需要发布 OpenAPI 契约、移动端或 SDK 因需稳定契约而被阻塞时。
限制：不适用于纯客户端消费第三方 API、完整威胁建模（应加载 vibe-security-skill）或 GraphQL 专项加固（应加载 graphql-patterns）。收费、价格等信息暂未提供。