api-security-testing 是用 Strix 组织接口安全审查的 Skill。它结合接口定义、账号权限、对象资料与排除范围，检查对象、字段和功能级的权限边界。
一个用户能调用接口，不等于能改任意字段或访问别人的记录。接口文档帮助列出路径，仍需看实际版本和运行行为；文档齐全也不保证枚举覆盖完整。
不同权限与业务范围的测试身份可帮助比较结果，具体证明方式依问题而定，不是所有越权都只能用两租户账号证明。返回二百状态也不单独证明泄露，要核返回内容和真实影响。
适合已授权 API 范围的检查交接，保留限流、环境和未审路径。本文未运行扫描或提供攻击请求，安装、云端与修复引用未展开；凭据不应进入聊天、提交记录或可回看的命令，结论要对应实际测试证据。