用途：审计应用层拒绝服务（DoS）与资源耗尽问题，寻找“单个小请求即可造成不成比例 CPU、内存、磁盘、连接槽或费用消耗”的代码与配置。仅覆盖应用层，不含 L3/L4 流量型 DDoS。
主要能力（检查项）：
- ReDoS：对攻击者可控字符串执行灾难性回溯正则；按运行引擎判定（RE2 系列如 Go regexp、Rust regex 为线性，其余如 V8、Python re、PCRE/PHP、.NET、Java、Ruby 会回溯）；用户自带模式被编译也是风险点。
- 无界解析与分配：请求体、上传、XML 实体扩展、zip/tar 解压炸弹、base64 解码放大；检查字节、条目、深度、压缩比上限。
- 算法复杂度攻击：用户可控集合上的 O(n^2)+ 逻辑、哈希碰撞泛洪、N+1 查询放大、GraphQL 扇出。
- 分页与枚举成本：缺少或过宽的 LIMIT、导出/报表端点整表载入内存。
- 异步/事件循环阻塞：同步 CPU 重活占满 Node 事件循环或固定线程池，连接池耗尽。
- 缓存与日志填充：未认证缓存键泛洪、会话创建刷量、错误处理打印完整请求体导致磁盘填满。
- 第三方成本放大：每请求触发付费短信/邮件/转码/API 调用而无节流、配额或幂等。
使用方式：先枚举所有“输入大小/数量/深度/内容决定资源成本”的汇聚点；通过阅读代码（循环结构、正则形状、框架默认值）证明或否证超线性行为；仅在授权窗口内用单次请求、数秒级的小幅探针确认高价值候选；报告需含 CWE 编号、复现步骤、修复建议与有界验证计划。
CWE 映射：CWE-400、CWE-1333、CWE-409，并可按需引用 CWE-405、407、674、770、776、789；OWASP 对应 A05:2021 与 A04:2021。
限制：不深入审计 L3/L4 流量攻击、反向代理/LB 缓解的 Slowloris，以及操作系统 ulimit/容器内存上限（仅作为爆炸半径记录）。判断正则是否可利用必须结合实际运行引擎。资料未提供定价、平台支持范围或安装命令。