该技能用于审查 FastMCP 漏洞报告，适用于安全公告、漏洞赏金提交等场景。核心原则是先确认违反安全边界的组件，再决定是否修改代码或公告状态。
主要流程：编辑公告前先导出报告、评论、概念验证、配置和声称受影响的版本，记录复现提交并从历史推导受影响版本；在分类前保持只读调查，不因 PoC 可用就修改公告或准备修复。
复现时使用受支持版本上的最小端到端复现，记录默认与非默认参数、环境与部署假设、攻击者控制的内容与获得的权限、被绕过的检查或信任边界，以及攻击者前置条件是否已提供同等或更大权限。
需判定责任层：FastMCP 漏洞（受支持配置下违反承诺边界）、FastMCP 缺陷（行为错误但未产生攻击能力）、上游漏洞（属于标准、依赖、身份提供方、客户端、代理或平台）、不安全部署（运营方遗漏或禁用必需控制）、预期行为、文档缺口。
对 OAuth 代理报告需逐层检查：Open DCR 允许未知客户端注册重定向，匹配的攻击者回调不算重定向验证绕过；普通上游同意绑定 FastMCP 共享应用；require_authorization_consent=False 移除同意；PKCE 保护验证器而非恶意客户端自身挑战的代码；重定向白名单是可选策略。
修复审查需独立验证是否从源头修复边界、是否静默改变默认或选择加入契约、是否保留受支持工作流。变更受支持产品契约应作为需维护者同意的增强处理。分类检查点需在任何 GitHub 变更前说明决定性配置、受影响版本、边界所有者、现实影响和处置方式。拒绝报告时应承认有效复现并解释决定性前提条件。