用途：对 Web 应用开展授权范围内的安全漏洞测试与渗透测试，涵盖认证/授权、注入类漏洞、JWT/会话安全、文件上传、API 评估等场景。
主要能力：SQL 注入检测（含 Union、时间盲注与 SQLMap 自动化）；XSS 载荷与过滤绕过、dalfox/XSStrike 等工具；命令注入运算符与盲检测；JWT 测试（jwt_tool 算法混淆、none 算法、密钥爆破）；SSRF 与云元数据探测及绕过；文件上传扩展名绕过与 simple webshell；XXE（含带外与 SVG）；LFI/RFI 路径遍历与 PHP 包装器；API 测试（IDOR、批量赋值、GraphQL 内省）。附带枚举与扫描工具：ffuf、gobuster、feroxbuster、nikto、nuclei、arjun、paramspider。
使用方式：先做目录枚举，再依次检查参数中的 SQLi、输入的 XSS、JWT、文件上传、API 端点与命令注入。常用命令示例：sqlmap -u "http://target.com/page?id=1" --batch --dbs；dalfox url http://target.com/search?q=test；python3 jwt_tool.py -M at -t "https://api.target.com/endpoint" -rh "Authorization: Bearer TOKEN"；ffuf -u http://target.com/FUZZ -w wordlist.txt；nikto -h http://target.com。
限制与边界：仅在获得授权时使用。源码可得时优先用 auditing-code-for-vulnerabilities；纯 API/GraphQL 用 testing-apis；PR 审查用 reviewing-code-changes；LLM 功能用 securing-ai-systems。SSRF、反序列化、GraphQL、gRPC、JWT、OAuth/OIDC、SAML、XXE 等有各自专门技能，应优先调用对应技能。具体收费、价格与平台支持情况暂未提供。