用途：该技能面向 Have I Been Pwned（HIBP）API v3，帮助开发者把泄露检查能力集成进安全工具、账号通知系统与登录流程。触发场景包括检查邮箱是否出现在泄露事件、校验密码是否已泄露、域名范围泄露排查、窃密日志（stealer logs）查询，以及处理 HIBP API 的认证、限流与端点问题。
主要能力：一是账号泄露查询，GET /breachedaccount/{account} 返回泄露列表，404 表示未命中；二是密码查询，Pwned Passwords 接口采用 k-匿名模型，本地对密码做 SHA-1，只发送哈希前 5 位，再在本地比对返回的哈希后缀，密码本身不出本机；三是全量泄露列表与单条详情，含 /breaches、/breach/{name}、/latestbreach、/dataclasses 等公开端点；四是域名与粘贴查询，如 /breacheddomain/{domain}、/pasteaccount/{account}；五是窃密日志接口 /stealerlogsbyemail/{email} 等；六是可查询订阅状态与限流额度。
使用方式：需先申请 API Key（32 位十六进制），通过 hibp-api-key 请求头传递，且必须设置 User-Agent，否则返回 403；请求须使用 HTTPS（TLS 1.2+）。集成测试可用测试 Key 00000000000000000000000000000000 及 hibp-integration-tests.com 测试账号。遇到 429 应依据 retry-after 重试并做退避。密码接口可加 Add-Padding: true 防止推断攻击。公开端点无需认证。
适用场景与限制：适合密码强度校验、泄露通知、合规审计与域名监控。需注意：部分接口依赖付费订阅层级，资料未提供具体价格与各层级完整权益；限流按订阅不同（资料提到 Pwned 5 为 1000 次/分钟），密码接口无限流；CORS 仅支持未认证端点；API Key 不得暴露在客户端代码中；泄露数据遵循 CC BY 4.0 需署名，密码库无此授权要求，使用需遵守可接受使用政策。
资料未提供：具体版本号、完整定价、各端点精确配额、正式环境长期支持与 SLA 等信息。