用途：该技能用于在用户要求识别 Web 应用漏洞、解释常见安全缺陷或理解漏洞成因时，提供系统化的漏洞识别、影响评估与修复指导参考，内容按与行业标准和真实攻击模式对齐的 15 大类组织，可用于构建漏洞评估清单和安全策略。
主要能力：为每个漏洞给出定义、根本原因、影响和缓解措施。示例包括：SQL 注入（缺乏输入校验、未使用参数化查询），缓解为参数化查询/预编译语句、最小权限数据库账户；XSS（输出编码不足），缓解为输出编码、CSP；命令注入（未净化输入传给系统 shell），缓解为避免 shell 执行、白名单校验；SSTI（用户输入直接嵌入模板表达式），缓解为沙箱模板引擎；会话固定（登录后未重新生成会话 ID）、暴力破解（缺少锁定/限流/CAPTCHA）、会话劫持（令牌生成弱、传输不安全）、凭据填充；IDOR、数据泄露、未加密存储、信息泄露；缺失安全响应头、默认口令、目录列表、未保护 API、CORS 配置错误、未修补软件；XXE、XEE、XML 炸弹、XML DoS；授权不足、权限提升、强制浏览、缺失功能级访问控制；不安全反序列化导致 RCE、数据篡改、对象注入；API 密钥暴露、缺少限流、输入校验不足、API 滥用；中间人攻击、传输层安全不足、SSL/TLS 配置不当；DOM 型 XSS、跨源通信不安全、浏览器缓存投毒、点击劫持、HTML5 安全问题；DDoS、应用层 DoS、资源耗尽、Slowloris；SSRF 与盲 SSRF 等。
使用方式：按类别分阶段评估，先处理注入类，再到认证与会话、敏感数据、配置、XML、访问控制、反序列化、API、通信、客户端、DoS 和 SSRF，逐项对照定义、成因、影响与缓解措施。资料中未提供具体 CLI 命令或安装步骤，暂未提供。
适用场景：Web 应用安全测试、代码审计参考、漏洞评估清单编制与安全策略制定。
限制：资料仅为参考性目录，未提供实际渗透步骤与工具命令；前置条件包括了解客户端-服务器模型与 HTTP、熟悉 HTML/JS/SQL/XML/API、理解认证与授权概念、可访问 Burp Suite 或 OWASP ZAP 等测试工具，并建议了解安全编码原则。部分条目（如盲 SSRF）描述被截断，完整细节暂未提供。