dotnet-route-mapper

Files (1)

• SKILL.md

SKILL.md (first lines)

# .NET Route & Endpoint Mapper

## 目标

分析 .NET Web 项目源码，提取**完整**的 HTTP 路由入口与请求参数结构，生成可用于安全测试的请求模板（Burp/Repeater 风格），并自动保存为 Markdown。

## CRITICAL：完整输出（强制）

此 Skill 必须输出所有发现的入口与接口，不允许省略：

- 禁止出现省略占位符；必须输出完整的路由、参数和请求模板
- 禁止只输出“关键接口”或“高危接口”
- 每条入口必须包含：入口类型、HTTP 方法或操作名、路径规则、处理器位置、参数结构、完整请求模板或调用模板
- 对 Controller 场景，必须把 Controller 级与 Action 级路由、版本、Area、绑定来源和返回类型差异完整展开

## 核心输入

用户提供：

- source_path：.NET 项目、解决方案或仓库根目录

可选：

- context_path：若存在反向代理、网关前缀、PathBase、服务前缀，可用于拼接完整外部路径，但必须有配置或代码证据来源

## 输出目录结构（建议）

```text
{output_path}/
├── route_mapping/
│   ├── routes_{timestamp}.md
│   └── params_{timestamp}.md
└── quality/
	 └── route_mapper_validation_{timestamp}.md
```

路径与流水线合并模式下的对应关系见 shared/IO_PATH_CONVENTION.md。
统一的 route mapping 产物格式模板见 shared/DOTNET_ROUTE_OUTPUT_TEMPLATES.md。

## 覆盖范围（必做）

1. ASP.NET Core / MVC / Web API 的 Controller 路由（必做）
	- [Route]、[HttpGet]、[HttpPost]、[HttpPut]、[HttpDelete]、[HttpPatch]、[HttpHead]、[HttpOptions]
	- [AcceptVerbs] 多方法路由
	- Controller 级 [Route] 与 Action 级 [Route]/[Http*] 的组合
	- Conventional Routing：MapControllerRoute、MapDefaultControllerRoute、Area 路由、legacy 路由模板
	- Attribute Routing 与 Conventional Routing 并存时的匹配优先级与最终路径组合
	- API Versioning：URL segment、query、header、media type 版本传递方式
	- Area：AreaAttribute、MapAreaControllerRoute、模块前缀与管理后台路由
	- ControllerBase 与 Controller 的差异：View/页面型 Controller 与纯 API Controller 必须区分
2. ASP.NET Core Minimal API
	- MapGet/MapPost/MapPut/MapDelete/MapPatch/MapMethods
	- MapGroup、MapFallback、RouteGroupBuilder 前缀与 Filter
3. SignalR Hub
	- Hub Method、OnConnectedAsync/OnDisconnectedAsync 引发的服务端入口
4. GraphQL
	- Query / Mutation / Subscription 的公开入口与操作名
5. WCF
	- ServiceContract / OperationContract

## Controller 场景枚举规则（强制细化）

对每个 Controller / Action，必须显式识别以下信息：

1. 路由声明来源
	- Controller 级特性
	- Action 级特性
	- Program.cs / Startup.cs 中的 conventional route
	- Area / versioning / gateway prefix / PathBase
2. 最终路径拼接规则
	- Controller 模板 + Action 模板 + Area + 版本前缀 + 路由约束
3. HTTP 方法
	- 来自 [HttpGet]/[HttpPost]/[AcceptVerbs] 等显式声明
	- 若为 conventional route 且未显式限制，需要标注方法限制不确定或由 action 名约定推断
4. 处理器类型
	- Controller / ControllerBase
	- MVC 页面控制器 / API 控制器 / 管理后台控制器
5. 返回类型差异
	- IActionResult、ActionResult<T>、JsonResult、FileResult、RedirectResult、ViewResult、ContentResult
	- 这些返回类型会影响后续输出模板、文件下载、重定向、JSON 响应和页面渲染判断

## 参数结构解析（必做）

对每条入口输出以下参数来源与类型信息：

1. Path 参数
	- 来自路由模板占位，如 {id}、{slug}、{version:apiVersion}
	- 必须输出参数名、约束、可空性、默认值
2. Query 参数
	- [FromQuery]、默认简单类型绑定、分页/排序/过滤参数
3. Body 参数
	- [FromBody]、JSON / XML / protobuf / 自定义 input formatter
	- 对复杂对象必须展开字段结构，而不是只写 DTO 类型名
4. Form 参数
	- [FromForm]、表单字段、multipart 表单字段
5. Header 参数
	- [FromHeader]、认证头、版本头、签名头、租户头、自定义上下文头
6. Service 参数
	- [FromServices] 不是用户可控输入，但必须标注为服务注入，避免与用户输入混淆
7. File 参数
	- IFormFile、IFormFileCollection、文件列表、流式上传对象
8. 自定义绑定
	- 自定义 ModelBinder、TypeConverter、BindAsync、TryParse、自定义 input formatter
	- 若参数由这些机制绑定，必须记录绑定器来源和转换规则

## 需要特别识别的 Controller 细节（必做）

1. Model Binding 规则
	- [ApiController] 自动 400、复杂对象默认绑定源、简单类型默认 query/route 绑定
	- BindRequired、BindNever、ValidateNever、BindProperty、TryUpdateModel
2. 上传参数
	- IFormFile / IFormFileCollection / List<IFormFile> / 嵌套 DTO 中的文件属性
3. 版本化
	- [ApiVersion]、MapToApiVersion、URL segment、query/header/media type 版本来源
4. 区域与后台入口
	- [Area]、Admin/Manage/BackOffice 等后台模块路径
5. 自定义动作选择
	- ActionName、NonAction、RemoteService、自定义约定或框架封装生成的 action
6. 输出模板差异

From ZMR0zhangmouren/dotnet-security-audit-skill, Apache-2.0.

More from ZMR0zhangmouren/dotnet-security-audit-skill