ab-testing
FreeA/B 测试设计与分析时使用。适用于产品实验、功能验证、转化率优化。融合假设驱动 + 样本量计算 + 置信度判断。
The English summary is being prepared. Showing the original description.
zhaoxuya520/AI-Fullstack-Delivery-Workflow53Updated May 19, 2026
FreePublished on GitHub
web-vulnerability
Web 漏洞检测时使用。适用于 OWASP Top 10 检测 / XSS / SQLi / SSRF / CSRF。融合 OWASP Testing Guide + Burp Suite + ZAP。
The English summary is being prepared. Showing the original description.
See how to installFiles included (2)
- SKILL.md2.0 KB
- templates/vulnerability-report-template.md831 B
SKILL.md (original)
Review the instructions the agent will receive before you install.
Web 漏洞检测（Web Vulnerability）
适用场景
- OWASP Top 10 检测
- XSS / SQL 注入 / SSRF / CSRF
- 文件上传漏洞
- 信息泄露
- 配置错误
OWASP Top 10 (2021) 速查
| # | 类别 | 示例 | 检测方式 |
|---|---|---|---|
| A01 | Broken Access Control | IDOR / 越权 | 手动 + 自动 |
| A02 | Cryptographic Failures | 明文传输 / 弱加密 | 扫描 + 审查 |
| A03 | Injection | SQLi / XSS / SSRF | DAST + 手动 |
| A04 | Insecure Design | 业务逻辑缺陷 | 威胁建模 |
| A05 | Security Misconfiguration | 默认密码 / 调试开启 | 扫描 |
| A06 | Vulnerable Components | 已知漏洞依赖 | SCA 扫描 |
| A07 | Auth Failures | 弱密码 / 无限重试 | 手动 |
| A08 | Data Integrity Failures | 不安全反序列化 | 审查 |
| A09 | Logging Failures | 日志不全 / 泄露 | 审查 |
| A10 | SSRF | 内网探测 | 手动 + DAST |
检测工具
| 工具 | 类型 | 用途 |
|---|---|---|
| Burp Suite | 代理 | 手动 + 半自动 |
| OWASP ZAP | DAST | 自动扫描 |
| Nuclei | 模板扫描 | 已知漏洞 |
| sqlmap | 自动化 | SQL 注入 |
| XSStrike | 自动化 | XSS |
| ffuf | 爆破 | 目录 / 参数 |
配套模板
templates/vulnerability-report-template.md— 漏洞报告模板
质量自检
□ OWASP Top 10 全覆盖
□ 手动 + 自动结合
□ 每个发现有复现步骤
□ 每个发现有风险等级
□ 每个发现有修复建议
□ 不只跑工具
常见坑
- 只跑 ZAP 不手动——漏业务逻辑
- 不测 IDOR——最常见高危
- 不测 SSRF——内网探测
- 不测文件上传——RCE 风险
- 报告无复现步骤——开发无法修
与其他 skill 的协作
上游：
threat-modeling → 重点测试区域
下游：
security-report → 发现纳入报告
reverse-pentest → 需要深度利用时
Reviews
No reviews yet. Tell others what you thought.
Comments
No login needed. Share how it worked for you, ask a question, or note where it did not run.
No comments yet. Be the first to write one.
More skills from this repository
上线前业务方/产品方验收时使用。适用于功能交付确认、UAT、发布会签。融合 BDD Given-When-Then、Specification by Example、ATDD。
The English summary is being prepared. Showing the original description.
zhaoxuya520/AI-Fullstack-Delivery-Workflow53Updated May 19, 2026
accessibility
Free设计无障碍可访问的界面时使用。适用于满足 WCAG 标准、键盘导航、屏幕阅读器支持。优先使用 WCAG 2.2 AA 级标准 + 键盘 + 焦点 + 对比度 + ARIA。
The English summary is being prepared. Showing the original description.
zhaoxuya520/AI-Fullstack-Delivery-Workflow53Updated May 19, 2026
实现可访问性（无障碍）时使用。覆盖 WCAG 2.2 AA / ARIA / 键盘导航 / 屏幕阅读器 / 颜色对比 / 焦点管理。融合 React Aria / Radix UI / Headless UI 实践 + axe-core 自动化测试。
The English summary is being prepared. Showing the original description.
zhaoxuya520/AI-Fullstack-Delivery-Workflow53Updated May 19, 2026
ai-deployment
FreeAI 模型部署时使用。适用于推理服务 / GPU / TensorRT / 监控 / 扩缩容。
The English summary is being prepared. Showing the original description.
zhaoxuya520/AI-Fullstack-Delivery-Workflow53Updated May 19, 2026
analysis-report
Free数据分析报告输出时使用。适用于业务分析报告、周报、专项分析、决策支持。融合洞察 + 建议 + 行动项。
The English summary is being prepared. Showing the original description.
zhaoxuya520/AI-Fullstack-Delivery-Workflow53Updated May 19, 2026