用途：对目标仓库的 HTTP 对外接口做静态安全审计，找出让客户端越权的 API 设计与配置缺陷，并为每个发现给出 file:line 证据、复现步骤（静态优先）、严重级别与理由、以及符合框架语义的修复建议。
主要能力覆盖八类问题：批量赋值/过度提交（CWE-915）；限流与反自动化、分页上限缺失（CWE-770、CWE-799）；GraphQL 生产环境 introspection、playground、深度/复杂度限制缺失、批量滥用与字段建议泄露（CWE-200、CWE-400）；gRPC/protobuf 公开反射、明文 h2c 监听、缺少逐 RPC 认证拦截器（CWE-306、CWE-200）；REST 卫生，如 _method 覆盖、GET 改状态、废弃版本仍在线、未认证的 OpenAPI 文档、调试头、带凭据的 CORS 通配、错误信息泄露（CWE-200、CWE-942）；API 密钥经 URL 传递、硬编码共享密钥、无范围限制的万能密钥、无吊销流程（CWE-798）；WebSocket/SSE 升级时缺少 Origin 校验、仅握手认证、主题缺少按用户 ACL（CWE-346、CWE-862）。
使用方式：资料假设对仓库只读访问，不保证有运行实例；以框架文档语义为依据的静态确认即可作为报告证据，动态复现仅在明确授权环境下可选。模块提供术语入门（批量赋值、BOLA、限流、分页上限、introspection/playground、resolver、影子 API、污点流等），并给出逐类检查清单，包括定位请求体绑定点、检索序列化器白名单缺失、核对框架中间件链与限流键、梳理 GraphQL 启动配置与错误格式、检查 gRPC 反射注册与监听凭据、比对实现路由表与 OpenAPI 规范以发现影子 API 等。
适用场景：面向 HTTP API 的代码与配置审计、上线前安全评审、以及针对现代框架默认宽松行为的排查。
限制：凭据填充阈值与账户锁定策略、业务流中的对象级 IDOR 逻辑、XXE 载荷构造、CSRF 令牌设计、完整 CORS 反射矩阵、响应或日志中的密钥回显、嵌套查询 DoS 的量化计算等均属其他模块，本模块只做接口定位或标注。具体运行时环境、安装命令与命令示例资料未提供。