web-app-penetration-testing 是用 Strix 检查运行中网页应用的 Skill。它从页面与接口行为查权限和业务问题，也可加入源码帮助理解。
主文先定授权目标、环境和排除路径，测试会产生真实请求及数据变化。不同测试账号可帮助核用户之间的边界，但不能把“两账号”当所有漏洞都必须具备的条件。
报告需复核具体证据，预算与提前结束状态也一起看。原文说每项都验证、不需处理误报，仍不能免去复核；没证实问题只说明本次范围的结果。
适合已有明确授权和隔离测试资料的应用审查，不能从一次结果推断全站无漏洞。本文未访问目标或运行任何测试，安装、云端和修复配套技能未展开；测试凭据应通过受控方式交接，不直接复述到日志或命令示例。