SuperAPI AI 工具集

competition-browser-persistence

安全与审计

查看项目

更新于 10-16 06:51

技能介绍

用途:该技能是 ctf-sandbox-orchestrator 的下游专用技能,仅在后者已启用并确定沙箱假设、节点归属与证据优先级后使用;若尚未启动,应先回到 $ctf-sandbox-orchestrator。适用于决定性分支存在于浏览器持有的状态、而非仅存在于可见 HTML 或后端源码的情况。默认以简体中文回复,除非用户明确要求英文。

主要能力:识别当前持久化面(cookie jar、localStorage、sessionStorage、IndexedDB、Cache Storage 或 service worker);在改动状态前记录 origin、scope、domain、path、expiry 与键名;把存储状态绑定到一个具体效果(请求头、渲染分支、缓存响应、离线行为或隐藏路由访问);区分启动时状态与运行时被修改的状态;复现到达决定性分支的最小有状态序列。工作流包括三步:映射浏览器状态面,检查 cookie、存储桶、service worker 注册、缓存条目与启动期暴露的临时全局变量,并按 origin、host、路由或功能开关归类,把 auth token、刷新材料、CSRF 状态、缓存响应与功能开关分块记录;将状态与运行时行为关联,展示存储状态如何变成请求头、角色推导、路由可见性、缓存 API 数据或离线回退行为,逐次只改一个变量对比干净状态与变更状态,区分仅 UI 状态与后端接受的状态;归约为决定性持久化链,压缩为最小链条:初始页面或登录→状态被持久化→后续请求或渲染分支→最终能力,保持提取的存储、service worker 脚本与重放步骤绑定同一 origin 与路由。若问题扩展到浏览器持久化之外的一般 Web 路由或 worker 行为,应切回更宽泛的 web-runtime 技能。

使用方式:先确定活跃的持久化面,记录来源与范围后再改动状态,逐步复现最小工作路径。参考资料见 references/browser-persistence.md,含浏览器状态清单、service worker 清单与证据打包。需要保留的内容:cookie 属性、存储键、数据库名、缓存键、service worker 作用域与 origin 边界;每个决定性状态项引起的精确请求或渲染效果;最小工作路径的干净状态与变更状态复现步骤。

限制:仅作为已启用 ctf-sandbox-orchestrator 后的下游专用技能使用;超出浏览器持久化范围的 Web 运行时问题应转回更宽泛技能。除上述内容外,具体平台、收费、价格等信息暂未提供。