用途：以结构化 10 阶段流程对自有或已获授权的 Web 应用做应用层安全审计，适用于生产部署前、新增认证/支付/用户功能、定期安全评审及接入第三方服务后。不适用于无授权目标、关键系统的专业渗透替代，以及网络层安全测试。
主要能力与用法：按阶段顺序推进，每阶段先提针对性问题，再给出具体测试（源码 grep、curl、Burp Suite、自动脚本），发现按 CRITICAL/HIGH/MEDIUM/LOW/INFO 标注，阶段结束前汇总；无对应攻击面则说明理由后跳过。阶段为：1 映射应用（枚举路由、暴露文件、硬编码密钥、输入点）；2 分析应用（业务功能与高风险区域排序）；3 测试客户端控制（隐藏字段、仅前端校验、价格/角色篡改）；4 测试认证（用户名枚举、暴力破解、口令策略与存储、重置、MFA）；5 会话管理（令牌熵与解码、Cookie 标志、固定/注销失效、CSRF）；6 访问控制（IDOR、纵向与横向越权、多步流程控制）；7 注入（SQLi、XSS、命令注入、路径穿越、XXE、SSRF、SSTI）；8 业务逻辑（竞态、多步滥用、金额与优惠滥用、归一化冲突）；9 应用服务器（默认凭据、危险 HTTP 方法、安全响应头、调试模式、依赖与 CVE）；10 复核与报告（信息泄露、SSL/TLS 检查、生成审计报告）。
限制：面向应用层，不覆盖网络层；需对目标拥有所有权或授权；不能替代关键系统的专业渗透测试。具体收费、价格与平台支持情况暂未提供。