用途：OWASP Top 10 是风险分类而非测试套件，本技能说明如何用 Strix 代理逐类对真实应用发起利用验证，并诚实报告覆盖情况。应使用当前版本 OWASP Top 10:2025；若需针对旧版（如 2021）须先询问用户，避免报告标注错误版本。
主要能力与覆盖：A01 访问控制（含 SSRF）、A02 安全配置错误、A05 注入、A07 认证失败为强覆盖，可做利用验证；A03 供应链、A04 加密、A06 不安全设计、A08 完整性、A10 异常处理为部分覆盖；A09 日志与告警无法从外部测试，应说明而非记为通过。A01 需两个普通账号加一个特权账号才能证明授权问题。
使用方式：安装、LLM 配置及托管云替代方案见 penetration-testing-with-strix；无 Docker 和 LLM 密钥时可用 strix cloud login 与 strix cloud scans start。典型运行命令：strix -n -t https://github.com/org/app -t https://staging.example.com --scan-mode deep --max-budget 30 --instruction "..."，指令中要求逐类覆盖并映射到 2025 分类编号，提供多级权限账号，并声明范围外路径。--scan-mode deep 对系统性走查十类很关键。
报告与限制：从 strix_runs/<run>/ 按类别分组 vulnerabilities/*.md，说明每类尝试了什么、证明了什么、哪些无法评估，并标注所用版本；每个 PoC 需自行验证。退出码 0 仅表示在已分析范围内未证明可利用，需检查 run.json 状态与预算，预算耗尽不算完成评估。修复后可用 fix-security-vulnerabilities-with-strix 复测，持续覆盖可用 ci-security-scanning-with-strix 在 PR 上把关。API 场景可改用 api-security-testing 技能对应 OWASP API Security Top 10 (2023)。