关于 competition-graphql-rpc-drift
用于对照 API 声明契约与实时 GraphQL 或 RPC 处理程序，寻找隐藏、过时或特权操作的安全竞赛后续技能。须在 `$ctf-sandbox-orchestrator` 建立沙箱假设和证据优先级后使用。
主要功能
- 01梳理 schema、清单和生成客户端
- 02捕获实时请求与响应
- 03对比契约预期和处理程序行为
- 04将偏差缩减为最小证明
适用场景
- 01寻找处理程序仍接受的未公开操作
- 02调查 schema 或持久化查询的版本偏差
- 03证明生成客户端与实时行为不一致
安装
复制下面的命令，在终端中运行。
$
npx skills add https:/安装后在 Claude Code 中输入/competition-graphql-rpc-drift确认已加载。
附带文件agents/openai.yamlreferences/graphql-rpc-drift.md
详细介绍
Competition Graphql Rpc Drift
仅在 $ctf-sandbox-orchestrator 已经处于活动状态，并且已经建立沙箱假设、节点归属和证据优先级之后，才将此技能作为下游专业化能力使用。如果尚未发生这种情况，请先回到 $ctf-sandbox-orchestrator。
当难点在于将声明的契约与实时处理器进行匹配，以发现隐藏的、过时的或特权操作时，请使用此技能。
除非用户明确要求英文，否则请用简体中文回复。
快速开始
- 首先收集声明的契约表面：schema、manifest、生成的客户端、持久化查询映射或 OpenAPI 规范。
- 在修改任何内容之前，记录实际请求形态、操作名称、变量、方法、路径和 auth 上下文。
- 并排比较声明的契约、生成的客户端行为和实时处理器行为。
- 保留一个被接受的操作和一个发生漂移或隐藏的操作，且差异最小。
- 复现能够证明决定性分支的最小契约到处理器不匹配。
工作流
1. 映射声明的契约表面
- 记录定义预期表面的 GraphQL schema、introspection 输出、持久化查询 id、RPC manifest、生成的客户端或 OpenAPI 文档。
- 注意带版本的端点、仅客户端防护、隐藏枚举、可选字段和操作命名约定。
- 将文档来源和生成路径与观察到的请求关联起来。
2. 证明实时处理器行为
- 捕获真实请求和响应对，包括操作名称、变量、标头、cookie 和状态。
- 比较客户端侧验证、schema 预期，以及实时处理器规范化或回退行为。
- 记录仍会执行的隐藏操作、过时字段、未记录的方法或仅处理器分支。
3. 缩减到决定性漂移路径
- 将结果压缩为最小序列：声明的契约 -> 实际请求 -> 处理器分支 -> 产生的 capability。
- 明确说明决定性漂移位于生成的客户端假设、持久化查询映射、schema 版本偏差、RPC manifest 不匹配，还是处理器侧隐藏逻辑中。
- 如果任务在接受后转向通用 JWT、OAuth 或队列行为，请移交给更严格的专用技能。
阅读此参考
- 加载
references/graphql-rpc-drift.md以获取契约检查清单、实时处理器检查清单和证据打包。
需要保留的内容
- Schemas、manifests、生成的客户端、持久化查询 id、操作名称和版本标记
- 一对被接受和发生漂移的请求，用于证明不匹配
- 一个能够到达决定性效果的最小契约到处理器序列
评论
支持 Markdown