用途：该工作流用于对 Web 应用、API 和基础设施开展综合性安全审计，将渗透测试、漏洞评估、安全扫描与修复编排为分阶段流程，适用于安全审计、API 安全测试、渗透测试、漏洞扫描、应用安全加固及合规安全评估等场景。
主要能力与流程：整体分为七个阶段。阶段一侦察：调用 scanning-tools、shodan-reconnaissance、top-web-vulnerabilities，确定目标范围、收集情报、映射攻击面、识别技术栈并记录发现。阶段二漏洞扫描：调用 vulnerability-scanner、security-scanning-security-sast、security-scanning-security-dependencies，执行自动化扫描、静态分析、依赖扫描并识别错误配置。阶段三 Web 应用测试：调用 top-web-vulnerabilities、sql-injection-testing、xss-html-injection、broken-authentication、idor-testing、file-path-traversal、burp-suite-testing，测试注入缺陷、认证机制、会话管理、访问控制、输入校验与安全响应头。阶段四 API 安全测试：调用 api-fuzzing-bug-bounty、api-security-best-practices，枚举接口、测试认证授权、限流、输入校验与错误处理。阶段五渗透测试：调用 pentest-commands、pentest-checklist、ethical-hacking-methodology、metasploit-framework，规划测试、执行攻击场景、利用漏洞、记录概念验证并评估影响。阶段六安全加固：调用 security-scanning-security-hardening、auth-implementation-patterns、api-security-best-practices，落实安全控制、配置安全响应头、建立认证授权、配置日志并应用补丁。阶段七报告：调用 reporting-standards，记录发现、评估风险等级、提供修复步骤、生成执行摘要与技术报告。
使用方式：按阶段以 @技能名 形式调用对应技能，例如 @scanning-tools 执行初始侦察、@vulnerability-scanner 扫描 OWASP Top 10 漏洞、@security-scanning-security-dependencies 审计依赖、@sql-injection-testing 测试 SQL 注入、@xss-html-injection 测试跨站脚本、@broken-authentication 测试认证安全、@api-fuzzing-bug-bounty 模糊测试 API、@pentest-checklist 规划渗透测试、@pentest-commands 执行渗透测试、@security-scanning-security-hardening 加固应用安全。检查清单包括 OWASP Top 10（注入、失效认证、敏感数据暴露、XXE、失效访问控制、安全配置错误、XSS、不安全的反序列化、使用含已知漏洞的组件、日志与监控不足）以及 API 安全（认证机制、授权检查、限流、输入校验、错误处理、安全响应头）。质量门禁要求：完成全部计划测试、记录漏洞、留存概念验证、完成风险评估、提供修复步骤并生成报告。
限制：仅当任务与上述范围明确匹配时使用；输出不能替代针对具体环境的验证、测试或专家评审；缺少必要输入、权限、安全边界或成功标准时应停止并请求澄清。具体安装命令、收费与平台支持信息暂未提供。