資安
執行授權的網頁應用安全評估
對範圍內網頁應用做可重現、依風險排序的評估，附證據與修復指引。
流程
照這個順序做。
- 取得書面授權，並記錄目標主機、環境、測試時段、允許技術、排除資料、升級窗口與停止條件。
- 在不超出約定範圍下，對應應用、身分、角色、進入點、API、信任邊界與敏感功能。
- 依相關 OWASP 網站安全測試指南領域擬定測試計畫，並依業務影響與暴露攻擊面排序。
- 先以非破壞性請求測試驗證、工作階段、授權、輸入處理、商業邏輯、設定與用戶端控制。
- 用最少必要證據驗證疑似發現；除非明確授權，不要存取無關紀錄、建立持續性或做阻斷服務測試。
- 為每項確認發現記錄可重現證據、受影響資產、前提、影響、嚴重理由與安全修復建議。
- 經核准管道交付報告，與負責人舉行說明會，並在授權時窗內重測約定修復。
先準備
貓會向你要的輸入。
- 書面交戰規則與範圍
- 測試帳戶與角色矩陣
- 目標網址或 API 規格
- 核准測試時窗與緊急窗口
路由器 + 一份 playbook
先路由。只選一份。
Cat Paw 每次任務只載入一份 playbook，不合併多份。先走這個路由器；其餘路徑是此 workflow 可檢查的候選。
- 路由器：
cybersecurity-pack skills/cybersecurity-skills/performing-web-application-penetration-test/SKILL.mdskills/cybersecurity-skills/performing-web-application-vulnerability-triage/SKILL.md
界線
界線跟著提示一起走。
- 沒有目標擁有者的明確書面授權，絕不測試。
- 嚴格遵守資產、時間、技術、速率與資料處理限制；遇不穩定或意外敏感資料即暫停。
- 盡量使用合成紀錄，證據只存於核准位置。
完成代表
一個可核對的終點。
每項計畫內測試都標為通過、失敗或未測並附理由；確認發現有可重現證據與負責人；報告已交付並獲確認。
來源
這個流程從哪來。
- owasp.org/www-project-web-security-testing-guide/
- wstg.owasp.org/latest/4-Web_Application_Security_Testing/00-Introduction_and_Objectives/
- github.com/OWASP/wstg
來源確立 workflow 的模式。若有 Reddit 或社群貼文，視為實務軼事，不是普遍事實。
