用途：对 Web 应用执行客户端注入漏洞评估，识别跨站脚本（XSS）与 HTML 注入缺陷，并在授权范围内演示利用方式。仅限教育目的或经授权的安全评估，使用前必须获得系统所有者的明确书面许可，滥用属违法。
主要能力：覆盖存储型、反射型与基于 DOM 的 XSS 检测，以及 HTML 注入测试；可构造检测载荷、演示会话 Cookie 捕获、分析 CSP 绕过路径（如受信任域上的 JSONP 端点）。
使用方式：执行任何探测、利用、更改、持久化、数据提取或凭据访问命令前，必须先让用户说明确切的目标 URL、IP、账号或资源，确认书面授权与允许范围，展示确切命令并解释预期效果，等待当前对话中的明确确认。未获确认时保持只读，仅提供防御性指导，优先使用沙箱、一次性虚拟机或受控实验环境。执行前应阅读详细指南，其安全、前置条件与验证要求视为强制。
适用场景：授权渗透测试、防御验证、受控教学实验。
限制：不得注入可能破坏生产系统的载荷；Cookie/会话捕获仅限演示；避免可传播的蠕虫式载荷；不得超出范围外泄真实用户数据。技术上 CSP 可能阻止内联脚本，HttpOnly Cookie 阻止 JavaScript 访问，SameSite 属性限制跨源攻击，现代框架常自动转义输出。法律与伦理上需书面授权，发现严重 XSS 应立即报告，按数据保护协议处理捕获的凭据，不得利用发现的漏洞进行未授权访问。具体安装命令与详细操作步骤暂未提供。