用途：该工作流用于对 Web 应用开展安全测试，重点覆盖 OWASP Top 10 漏洞，包括注入攻击、XSS、认证失效与访问控制问题。适用场景包括 Web 应用安全测试、OWASP Top 10 评估、渗透测试、安全控制验证和漏洞赏金。
主要能力与阶段：工作流分为七个阶段。侦察阶段调用 scanning-tools 与 top-web-vulnerabilities，进行应用面测绘、技术识别、端点发现、子域发现并记录结果。注入测试阶段调用 sql-injection-testing 与 sqlmap-database-pentesting，测试 SQL、NoSQL、命令与 LDAP 注入。XSS 测试阶段调用 xss-html-injection 与 html-injection-testing，测试反射型、存储型、DOM 型 XSS 及过滤器。认证测试阶段调用 broken-authentication，测试撞库、暴力破解防护、会话管理、密码策略与 MFA。访问控制测试阶段调用 idor-testing 与 file-path-traversal，测试垂直与水平越权、IDOR、目录遍历和未授权访问。安全头阶段调用 api-security-best-practices，检查 CSP、HSTS、X-Frame-Options、X-Content-Type-Options 与 referrer policy。报告阶段调用 reporting-standards，记录漏洞、评估风险、提供修复建议、创建概念验证并生成报告。
使用方式：资料给出可复制的提示词，例如使用 @scanning-tools 执行 Web 应用侦察，使用 @sql-injection-testing 测试 SQL 注入，使用 @sqlmap-database-pentesting 自动化 SQL 注入测试，使用 @xss-html-injection 测试跨站脚本，使用 @broken-authentication 测试认证安全，使用 @idor-testing 测试不安全直接对象引用，使用 @file-path-traversal 测试路径遍历，使用 @api-security-best-practices 审计安全头，使用 @reporting-standards 创建安全报告。
质量门与清单：要求覆盖全部 OWASP Top 10（A01 访问控制失效、A02 加密失败、A03 注入、A04 不安全设计、A05 安全配置错误、A06 易受攻击组件、A07 认证失败、A08 软件与数据完整性、A09 日志与监控、A10 SSRF），记录漏洞、留存概念验证、提供修复建议并生成报告。相关捆绑工作流包括 security-audit、api-security-testing 与 wordpress-security。
限制：资料未提供具体工具版本、授权要求、执行环境、收费或价格信息，也未给出完整命令与代码示例；实际使用需自行确认合法授权范围。