Imported from Autumn-27/ARTEX (skills/api-recon/SKILL.md). Install upstream with npx skills add Autumn-27/ARTEX --skill api-recon. Copyright stays with the author.

API Recon（前端接口侦察）

在已授权前提下，尽可能完整地发现：后端 API（路径、方法、参数、响应体）、前端路由、UI 功能触发点（Tab、弹窗、表格操作等）。

边界与禁止（Agent 必读 · 违反即越界）

本 skill 仅做 API / 参数面侦察，不是漏洞挖掘或渗透利用阶段。

任务边界

无凭据动态分析（Phase 3 默认）

1. 通过 preload.js / runtime_harvest.js 拦截并 stub 登录、权限、菜单等 bootstrap 接口；
2. 对业务查询接口返回 结构正确、业务码成功、数据可为空 的 mock body；
3. 使前端在无后端或 401 环境下仍能渲染登录后页面，从而触发更多 XHR/fetch/WebSocket；
4. 空数据、空白表格、占位 UI 均属预期——勿为此转向真实登录或漏洞测试。

一句话：用 mock 撑开前端路由与组件挂载，只录 outbound 请求；后端返回什么不重要，重要的是前端还会发哪些接口。

流程硬禁止

两层模型 + 运行模式

参数方法论（无通用脚本）：path 用 harvest/正则；参数用 锚点扩窗 + UI 绑定链 + 多样本 diff + 错误反推（grep 配方见 reference.md J 节）。

完成定义

全部满足方可声称 recon 完成：

• 静态：Phase 1 harvest 产出 api_static.txt、routes.txt、js/
• 运行时：至少 depth 或 coverage 之一；coverage/both 须 Hook 生效 + 动态枚举环
• 进壳：访问业务 path 时非 /login（注意 hash 路由）
• 参数：coverage/both 完成参数触发矩阵 + param_samples.json；Phase 5 合并 params_merged.json
• 深度（若模块页空白）：Phase 4 权限树还原并重跑，直至出现 module 级 API（非仅 locale/bootstrap）
• 交付：Phase 5 产出齐全（见 Phase 5 产出表）；insert_assets 写入服务与端点资产

脚本与门禁

scripts/ 仅为参考模板，禁止直接跑原版并当最终结果。

规则：先读 → 按目标改 → 写入 OUTDIR（如 recon/）→ 记 CHANGES.md；不匹配则按方法论重写，只借结构。

SPA 强制顺序（不可交换；Phase 编号优先于「先探索再脚本」）：

• ✅ 复制 harvest_static.py → （可选）改 regex → 立即运行
• ❌ curl 主 bundle → grep 多次 → 写临时 extract → 最后才 harvest
• MPA：Phase 0 后下一条 Bash = python3 OUTDIR/spider_mpa.py ...

工具与输出约束

执行路线图

Phase 0 分类 + OUTDIR
  → 门禁 A → Phase 1 harvest（★ 立刻运行 ★）
  → Phase 1b 参数逆向
  → Phase 2 鉴权三道门 → config.json
  → 门禁 B → Phase 3 运行时 + 参数矩阵
  → Phase 4 权限树（必要时）→ 重跑 Phase 3
  → Phase 5 合并报告 + insert_assets批量插入所有发现的服务、端点api资产，无论如何插入时不允许漏掉已发现的资产

按序勾选；前一项未完成不得进入下一 Phase。

1. Phase 0：初探 SPA/MPA；创建 OUTDIR → Phase 0
2. 门禁 A + Phase 1：复制脚本 → 立刻 harvest → wc -l 校验 → Phase 1
3. Phase 1b：锚点扩窗 + 绑定层 → param_candidates.json → Phase 1b
4. Phase 2：鉴权三道门 → config.json → Phase 2
5. 门禁 B：调整 runtime 脚本 → Phase 3
6. Phase 3：depth / coverage / both；确认进壳；参数触发矩阵 → param_samples.json
7. Phase 4（若需要）：权限树 → patch stubs → 重跑 Phase 3 → Phase 4
8. Phase 5：合并产出 + 报告 + insert_assets → Phase 5

Phase 0 — 分类

拉取入口 HTML，创建 OUTDIR（勿改 skill 内 scripts/）：

• SPA：空壳 + <div id=app> + chunk → Phase 1–5
• MPA：SSR + <form>、无 endpoint bundle → 门禁 A 后：

python3 recon/spider_mpa.py <BASE_URL> <OUTDIR> [--cookie "session=..."] [--max 300] [--depth 5] [--exclude "logout|delete|destroy"]

产出 forms.txt、links.txt、api_inline.txt。SPA 若 forms ≈ 0 → 切 Phase 1。

Phase 1 — 静态

遵守 脚本与门禁 · 工具与输出约束。

python3 recon/harvest_static.py <BASE_URL> <OUTDIR>

harvest：解析 HTML script → webpack/Vite manifest → 下载全部 lazy chunk → 产出 js/、api_static.txt、routes.txt、chunkmap.txt。

wc -l OUTDIR/api_static.txt OUTDIR/routes.txt
ls OUTDIR/js | wc -l

• chunk 数 vs manifest：404 须改 harvest 重试，勿手工 curl 逐个 chunk
• api_static.txt 过少 → 放宽 OUTDIR 内 endpoint 正则后重跑（见 reference）

Phase 1b — 参数逆向

path 来自 Phase 1；参数字段须单独 recon。grep 规则见 工具与输出约束。

完成标准：重要接口能答——字段名、传输位置、类型推断、是否必填、样本值、置信度。

1b.0 — 传输形态

产出：每接口标注 transport: query|json|form|graphql|encrypted。

1b.1 — 锚点扩窗

以已知 path 为锚，扩窗口找组包对象：

grep -n '"/api/user/list"' OUTDIR/js/*.js | head -20
grep -rhoaE '.{0,120}("/api[^"]+").{0,200}' OUTDIR/js/*.js | head -20
grep -rhoaE '(params|data|body|payload)\s*:\s*\{' OUTDIR/js/*.js | head -20

类型残留：yup/zod/rules、Form.Item name=、内嵌 Swagger。

→ param_candidates.json：{ path, fields[], source: "static-callsite", confidence }

1b.2 — 绑定层

Form field → onFinish/handleSubmit → transform → API payload

DevTools call stack 从 fetch/XHR.send 往上追组包函数。

1b.3 — 组包三问（≠ Phase 2 鉴权三门）

拦截器门（Phase 2）顺带读全局注入字段（Authorization、X-Tenant-Id、sign）。

1b.4 — 与 Phase 3 衔接

候选字段来自静态/绑定层；必填/可选/条件依赖须 Phase 3 参数矩阵 + diff + Phase 5 错误反推。

Phase 2 — 鉴权三道门

在 OUTDIR/js/ grep（带 head），写入 config.json（配方见 reference）：

禁止把 localStorage 键名当凭据——须从 chunk/请求链确认。

出口 = 门禁 B：结论落到 config.json，并改 OUTDIR/runtime_harvest.js / preload.js。

Phase 2b — API 观察（可选）

用 OUTDIR 内 preload.js 确认会话键名、Authorization、嵌套 API URL：

coverage 每轮导出：__API_RECON_LOG__、__API_RECON_DETAIL__、__API_RECON_ROUTES__、__API_RECON_OBSERVE__。

Phase 3 — 运行时

须已过门禁 B；遵守 边界与禁止 · 无凭据 mock 策略。

config.json 设置 "runtimeMode": "depth" | "coverage" | "both"（模板见 reference）。

Hook 与 stub（depth + coverage 共用）

• depth：fake auth + forward 改业务码 + stubs；遍历 routes（hash/history）；产出 runtime_api.json
• coverage：document-start 注入 preload.js（CDP addScriptToEvaluateOnNewDocument 或 Userscript）

验证：window.__API_RECON_PRELOAD__ 存在；业务 path 不回 /login。

cd recon && npm install
node runtime_harvest.js config.json

3b — coverage 动态枚举（必做）

1. 主导航/侧栏 — 每项点击，等网络 1–3s
2. Tab — role=tab、.ant-tabs-tab
3. 表格 — 首行查看/编辑/详情
4. 工具栏 — 导出、筛选、新建（避免不可逆删除）
5. 每进模块 — 合并 API/路由
6. SPA — 对 routes.txt 未覆盖 path 受控 pushState（MPA 禁止）

参数触发矩阵（必做）：每模块按操作类型各录一次，diff 多样本：

stub 下 outbound body/headers 仍真实——以请求为准。录制 → scan_raw.json、param_samples.json、api_detail.json。

• Vue：neutralizeVueRouter: true + document-start preload
• React：routes.txt + 侧栏点击 + pushState
• both：先 3a depth，再 3b coverage

Phase 4 — 权限树还原

触发：模块页空白 / 每路由仅 bootstrap（如 locale）→ 内容门未过。

grep -rhoaE '"/api[^"]*(permission|perm|role|menu|acl)[^"]*"' OUTDIR/js/*.js | sort -u | head -30
grep -rhoaE 'userRouteAuth|getResultTree|routeMap|routeLink|menuList|authList' OUTDIR/js/*.js | head -20

典型链：role_permissions（flat codes）+ permissions/all（tree）→ getResultTree → userRouteAuth[CODE].url。

python3 recon/extract_route_map.py recon/js recon/
python3 recon/build_perm_tree.py recon/js recon/ --config recon/config.json

中间产出：route_map.json、userRouteAuth.json、permissions_tree.json、*_stub.json、perm_codes_all.txt。

stub 检查：外层 response_code 与拦截器门一致；flat codes 与 tree 对齐；routes 覆盖 route_map 全部 link。

更新 config.json 后重跑 Phase 3。大型 SPA 可调 waitUntil、routeTimeout、perRouteMs（见 reference A3/I 节）。

Phase 5 — 合并与报告

产出表

5b — 参数合并

从 param_samples.json diff，无通用合并脚本。置信度规则见 reference J7（高/中/低/待触发）。

5c — 错误反推

授权范围内可发不完整请求读 400（属参数 recon，非漏洞测试）：field 'x' is required、枚举错误等。注意 data 包装、variables、加密前 bizData。

报告须注明：runtimeMode、静态/运行时 API 数、参数置信度、未覆盖模块、相对参考脚本的 CHANGES.md 摘要。

site_map.json 建议结构：

{
  "site": "https://example.com",
  "runtimeMode": "both",
  "appType": "vue-spa",
  "routeGuardStrategy": ["nav-neutralize", "L1-auth", "L2-patch", "forward"],
  "apisFromStatic": [],
  "apisFromRuntime": [],
  "apis": [],
  "params": [{ "method": "POST", "path": "/api/user/list", "transport": "json", "fields": [] }],
  "frontendRoutes": [],
  "routesVerifiedByClick": [],
  "featuresTriggered": [],
  "limitations": ""
}

更多字段与 grep 配方见 reference.md。

通用说明

• 框架无关：webpack/Vite/Angular lazy load 方法相同
• 传输：REST/JSON、GraphQL、WebSocket、SSE；gRPC-web 不在范围
• SSR：客户端 fetch 可录；RSC/Server Actions 不完全可枚举
• 盲区：JSVMP、WASM、HMAC/mTLS 强校验 → 静态 + 标注局限
• 参数盲区：条件联动、hidden params、WASM 组包 → 「待触发」/「不可达」
• 静态是安全网：runtime 被挡时静态仍能枚举 endpoint

附加资源

• Grep 配方、config.json 模板、排障、Hook、参数逆向 J 节、site_map 模板：reference.md
• 参考脚本路径见 脚本与门禁 表