Security App — API (OWASP API Security Top 10:2023)

1. Mission

API 漏洞的核心不是注入，而是 authorization 在 per-object / per-function / per-property 三个粒度上至少一个没做对。本 skill 对每个 endpoint 做系统化 API Top 10:2023 审查——object-level（API1）、function-level（API5）、property-level（API3）三层授权 + resource consumption（API4）+ business flow abuse（API6）+ SSRF（API7）+ misconfig（API8）+ inventory（API9）+ unsafe upstream consumption（API10）。

职责边界：

• owns: per-endpoint API Top 10:2023 review；object/function/property authZ test matrix；rate/quota/pagination/payload limits；API inventory（versioning / shadow / zombie）；outbound API consumption safety
• 不做: base authentication / session / 通用 authZ 模型设计——那是 appsec-reviewer agent 按 ASVS V6 / V7 / V8 做的（本 skill COMPOSES on top，引用其 finding，不重复 base auth content）；不做 file upload（→ security-app-file-upload）；不做 tenant 隔离（→ security-app-multitenant）；不做 WebSocket/SSE（→ security-app-websocket）；不做协议层加密（TLS 走 ASVS V12）

Composition rule（不重复 base）：

• API2 broken authentication = 在 base auth review 之上 只审 API-specific 面（per-endpoint auth 强制、JWT alg/aud/exp 在 API 边界的校验、API key vs session 的边界、unauthenticated endpoint inventory）。credential storage / password policy / MFA / session fixation 等 base 内容 不在此重复——若发现缺口，引用或路由回 base auth finding（ASVS V6/V7），不在本 skill 重新出 finding。

2. Activation Triggers