用途：该技能依据 OWASP Top 10:2021 十大类别对 Web 应用进行结构化安全审查，适用于审查 Web 应用源代码、审计服务端或框架配置（如 Express、Django、Rails、Spring Boot、ASP.NET）、用户请求“安全评审/渗透测试准备/OWASP 检查”，以及评估涉及认证、授权、输入处理、加密或外部集成的拉取请求。若通过参数传入目标，则聚焦该目标；不适用于纯移动端、IoT 固件或非 Web API，应改用对应领域技能。
主要能力：覆盖 A01 失效的访问控制、A02 加密失败、A03 注入、A04 不安全设计、A05 安全配置错误等类别，为每类列出风险说明、检查要点、CWE 映射、Grep 检测模式与缓解措施。流程为先盘点项目结构与技术栈、梳理入口点与依赖清单，再逐类用 Grep 与 Read 检索检测模式并记录发现。报告要求确认具体文件路径、行号与脆弱代码模式，验证可利用性，区分“潜在风险”与“已确认漏洞”，同一底层漏洞合并为一条发现，避免推测性结论。
使用方式：在支持的技能环境中调用该技能，并可传入目标以缩小审查范围。
限制：需要能读取代码与配置的工具能力；缺少具体可利用代码路径的基础设施类观察应省略或降为信息级；示例中部分检测模式仅针对常见写法，需结合上下文判断，避免把 UI 动画使用的随机数等误判为漏洞。