用途
该技能用于在代码审查阶段识别并修复与跨域请求安全相关的问题。同源策略是浏览器防止恶意站点窃取数据或冒用用户身份执行操作的主要防线，而错误配置 CORS 或未校验 postMessage 来源都可能让攻击者绕过这一保护，从而读取私有数据、以用户身份提交表单或向页面注入内容。
主要能力
- 检查（Check）：检查代码中不安全的跨域模式，包括 postMessage 监听器缺少 origin 校验、CORS 设置过于宽松、缺少 CSRF 防护，并标记接受任意外部 URL 的重定向参数。
- 修复（Fix）：为 postMessage 监听器添加 origin 校验，审查 CORS 配置以确保认证路由不会过于宽松，在跳转前拒绝或白名单化不受信任的重定向目标。
- 解释（Explain）：解释同源策略、CORS 的工作方式，以及如何安全地使用 postMessage 进行跨域通信。
- 代码审查（Code Review）：审查与安全处理跨域请求相关的脚本、客户端组件和浏览器执行路径，标记违反规则的具体导入、事件处理器、运行时副作用或阻塞操作，并说明如何在浏览器中验证改动；同时检查登录、登出、SSO 和返回流程中的开放重定向问题。
使用方式
该技能以规则形式提供，包含快速参考要点：处理 postMessage 数据前始终校验 event.origin；认证端点绝不设置 Access-Control-Allow-Origin: *；校验并清理所有来自跨域消息的数据；使用 SameSite cookie 防止跨域请求引发的 CSRF；拒绝未经验证的重定向目标（如 next、redirect、callbackUrl）。完整的实现细节、代码示例和框架相关指导见 references/rule.md。
适用场景
适用于审查前端脚本、客户端组件、打包产物或浏览器运行时行为中涉及跨域请求安全的部分，尤其适合检查登录、登出、SSO 与返回跳转流程中的开放重定向风险。
限制
资料未提供该技能的具体安装命令、支持的框架清单、收费方式或价格信息，这些内容暂未提供。