用途：在 Web 漏洞检测场景中使用，面向 OWASP Top 10 检测以及 XSS、SQL 注入、SSRF、CSRF、文件上传漏洞、信息泄露、配置错误等问题。
主要能力：提供 OWASP Top 10（2021）速查表，逐项列出类别、示例与检测方式，包括 A01 失效的访问控制（IDOR/越权，手动+自动）、A02 加密失败（扫描+审查）、A03 注入（DAST+手动）、A04 不安全设计（威胁建模）、A05 安全配置错误（扫描）、A06 易受攻击组件（SCA 扫描）、A07 认证失败（手动）、A08 数据完整性失败（审查）、A09 日志失败（审查）、A10 SSRF（手动+DAST）。
检测工具：Burp Suite（代理，手动+半自动）、OWASP ZAP（DAST，自动扫描）、Nuclei（模板扫描，已知漏洞）、sqlmap（自动化，SQL 注入）、XSStrike（自动化，XSS）、ffuf（爆破，目录/参数）。
配套模板：templates/vulnerability-report-template.md 为漏洞报告模板。
质量自检：要求 OWASP Top 10 全覆盖、手动与自动结合、每个发现有复现步骤、风险等级与修复建议，且不只跑工具。
常见坑：只跑 ZAP 不手动会漏业务逻辑；不测 IDOR（最常见高危）、SSRF（内网探测）、文件上传（RCE 风险）；报告无复现步骤导致开发无法修复。
协作关系：上游 threat-modeling 提供重点测试区域；下游 security-report 将发现纳入报告，reverse-pentest 在需要深度利用时使用。
限制：资料未提供具体安装命令、收费方式、平台支持范围与实测效果，暂未提供。