用途：该技能是 ctf-sandbox-orchestrator 的下游专用技能，仅在编排器已激活并已确定沙箱假设、节点归属与证据优先级后使用。当决定性路径涉及服务端请求能力、内网服务可达性或元数据派生凭据时适用。默认用简体中文回复，除非用户明确要求英文。
主要能力：区分 SSRF 来源、转发层、可达目标与下游凭据接受边；记录请求方法、URL 构造、头部行为、重定向、DNS 或主机覆盖及响应整形；将内网主机、元数据端点、令牌提取与接受服务映射为一条链；区分只读可达性与携带凭据的访问；复现最小的 SSRF 到被接受访问路径。
使用方式：先映射 SSRF 可达性，记录来源原语（URL 参数、webhook、图片抓取、导入器、代理端点或后端回调）及规范化步骤（协议过滤、主机白名单、重定向、DNS 解析、路径重写、头部注入）。再追踪元数据与凭据横向移动，确认元数据端点、内网控制 API 或工作负载身份服务是否可达，记录令牌字段、角色范围、服务账号、过期时间及接受位置，区分凭据提取成功与下游服务实际接受权限。最后压缩为决定性链：SSRF 来源 -> 内网或元数据目标 -> 凭据或敏感响应 -> 被接受的重放或 API 访问，并说明决定性边是解析器绕过、白名单绕过、重定向滥用、头部混淆还是元数据信任。若任务转为云身份策略分析，应移交给更专门的云元数据技能。
参考：加载 references/ssrf-metadata-pivot.md 获取 SSRF 检查清单、元数据横向移动与证据打包。
需保留内容：SSRF 来源点、URL 构造规则、可达主机与响应差异；提取的令牌或凭据字段、范围与接受服务；一条最小的 SSRF 到被接受访问重放路径。
限制：仅作为下游专用技能使用，前置条件未满足时应返回 ctf-sandbox-orchestrator；资料未提供具体命令、安装方式、收费与平台信息。