安全
执行授权的网页应用安全评估
对范围内网页应用做可复现、按风险排序的评估，附证据与修复指引。
流程
按这个顺序做。
- 取得书面授权，并记录目标主机、环境、测试窗口、允许技术、排除数据、升级联系人和停止条件。
- 在约定范围内映射应用、身份、角色、入口、API、信任边界和敏感功能。
- 按相关 OWASP 网页安全测试指南领域制定测试计划，并按业务影响和暴露攻击面排优先级。
- 先用不破坏请求测试认证、会话、授权、输入处理、业务逻辑、配置和客户端控制。
- 用最少必要证据核验疑似发现；除非明确授权，不要访问无关记录、建立持久化或做拒绝服务测试。
- 为每条确认发现记录可复现证据、受影响资产、前置条件、影响、严重性理由和安全整改建议。
- 经批准渠道交付报告，与负责人做解读，并在授权窗口内复测约定修复。
先准备
猫会向你要的输入。
- 书面交战规则与范围
- 测试账号与角色矩阵
- 目标 URL 或 API 规范
- 批准测试窗口与紧急联系人
路由器 + 一份 playbook
先路由。只选一份。
Cat Paw 每次任务只加载一份 playbook，不合并多份。先走这个路由器；其余路径是此 workflow 可检查的候选。
- 路由器：
cybersecurity-pack skills/cybersecurity-skills/performing-web-application-penetration-test/SKILL.mdskills/cybersecurity-skills/performing-web-application-vulnerability-triage/SKILL.md
界限
界限跟着提示一起走。
- 没有所有者明确书面授权，绝不测试目标。
- 严格遵守资产、时间、技术、速率和数据处理限制；遇不稳定或意外敏感数据即暂停。
- 尽可能使用合成记录，证据仅存于批准位置。
完成代表
一个可核对的终点。
每个计划内范围内测试标为通过、失败或未测并说明原因；确认发现有可复现证据和责任人；报告已交付并获确认。
来源
这个流程从哪来。
- owasp.org/www-project-web-security-testing-guide/
- wstg.owasp.org/latest/4-Web_Application_Security_Testing/00-Introduction_and_Objectives/
- github.com/OWASP/wstg
来源确立 workflow 的模式。如有 Reddit 或社区帖子，视为实务轶事，不是普遍事实。
