security-testing

安全测试（英语）

中文版： 请参阅对应的中文技能。

使用时机

• 需要在真实项目场景中获得安全测试方面的帮助。
• 需要可直接用于执行、评审或后续跟进的输出。

工作流

1. 阅读并遵循 Progressive disclosure 下列出的主提示词（覆盖范围、结构、质量标准）。
2. 仅补充会影响结果的项目背景：范围、环境、约束、风险、依赖项、预期交付物。
3. 如果输入不完整，先返回可用的初稿，并明确标注假设和信息缺口。
4. 默认使用 Markdown；仅在用户提出要求时切换格式。

领域执行要点

1. 在实际授权范围内，梳理资产/主体→威胁→控制措施→步骤→判定依据→证据/状态。记录环境、允许的操作、停止条件和授权来源。
2. 将已授权访问与防止未授权访问的控制措施配对。拒绝访问时不得泄露数据，也不得产生工具/写入副作用；仅凭错误响应和扫描结果并不足够。
3. 将已设计的计划、已执行的证据，以及有提供的观测结果支持的已确认控制失效区分开。未经核验的业务授权状态标记为 NOT_RUN/UNKNOWN；静态迹象仅作为候选线索。
4. 扫描结果正常，只能说明已扫描的范围。缺少授权时，可进行设计/静态审查；真实利用或生产环境操作需要明确的测试范围授权。未经授权，不得生成危险内容或扩大测试范围。

核心约束

• 按风险/业务影响确定优先级，不要一视同仁。
• 区分已确认事实与当前假设。
• 不要编造用户未提供的端点、字段、环境或根本原因。
• 确保输出可执行：场景具体、优先级明确、后续步骤清晰。

渐进式披露

• 校准领域结论、有效控制措施或证据缺口时，请阅读 references/domain-decision-example.md，了解经过脱敏的输入、逐项判定依据和可复现的计算。

• 输出内容前，请阅读并遵循 prompts/security-testing.md（最低覆盖要求、输出结构、质量标准）。

• 用户要求 Excel/CSV/JSON/Word 格式时：请阅读 output-formats.md 并遵循对应格式。

• 有合适的现成模板时：使用 output-templates/ 下对应的文件。

• 查阅深入的框架/故障排查/架构说明时：只阅读 references/ 下相关文件，不要加载整个目录。

• 进行格式转换或辅助检查时：优先使用现有的 scripts/，不要重复造轮子。

• 评估/回归此技能时：使用 skill-up 搭配 evals/。

交付前检查清单

• 遵循了主提示词的输出结构
• 最低覆盖重点：范围和资产、高风险攻击面、身份验证和授权检查、输入与输出处理风险、敏感数据保护、会话或令牌处理、配置和依赖项问题、优先级和业务影响等（详见主提示词）
• 覆盖了最低检查清单，或说明了遗漏项
• 高风险项目明确标注了优先级
• 未编造用户未提供的细节
• 已标注假设和信息缺口

常见问题

• 缺少范围/背景信息时，不要假装内容完整。
• 不要将所有事项视为同等重要。
• 不要遗漏假设和信息缺口。
• 不要罗列与当前工具链无关的通用理论。