用途
该技能提供一份结构化的参考，按类别整理 100 个最关键的 Web 应用漏洞，帮助使用者系统化地了解常见 Web 应用漏洞模式。其定位是参考与学习资料，而非自动化攻击工具。
授权与安全约束
技能明确标注“仅限授权使用”，仅用于教育目的或经授权的安全评估。使用前必须获得系统所有者的明确书面许可，误用属于违法行为并被严格禁止。
技能设有强制确认关卡。在运行任何针对目标进行探测、利用、更改、持久化、提取数据或尝试访问凭据的命令之前，必须：
- 要求用户说明确切的目标 URL、IP、账户或资源；
- 要求用户确认书面授权及允许的范围；
- 展示确切的命令并解释其预期效果；
- 在当前对话中等待明确确认。
若未获得上述确认，应保持只读状态，仅提供防御性指导，并优先使用沙箱、一次性虚拟机或受控实验环境。
前置条件
- 对 Web 应用架构（客户端—服务器模型、HTTP 协议）有基本理解；
- 熟悉常见 Web 技术（HTML、JavaScript、SQL、XML、API）；
- 理解身份认证与授权概念；
- 可访问 Web 应用安全测试工具（Burp Suite、OWASP ZAP）；
- 建议了解安全编码原则。
使用方式
技能说明在执行前应先阅读详细指南，该指南保留完整流程与参考材料，其安全、前置条件和验证要求均视为强制。针对聚焦性工作，可加载相关章节；针对端到端工作，应完整阅读指南。
适用场景
适用于执行概述中描述的工作流程或操作，即围绕 100 个关键 Web 应用漏洞进行系统化参考与学习。
限制
- 漏洞定义代表常见模式，具体实现存在差异；
- 缓解措施必须根据技术栈和架构进行调整；
- 新漏洞不断出现，参考内容应持续更新；
- 部分漏洞在不同类别间存在重叠（例如 IDOR 出现在多种场景中）；
- 缓解措施的有效性取决于是否正确实施；
- 自动化扫描器无法检测所有漏洞类型，尤其是业务逻辑类漏洞。
暂未提供的信息
资料未提供该技能的具体安装命令、代码示例、收费或价格信息、支持的平台清单以及实际使用效果数据。