用途：解析 API 网关访问日志，识别越权与攻击行为，包括对象级授权失效（BOLA/IDOR）、过度数据暴露、注入尝试、限流绕过和凭据扫描。
主要能力：以 pandas 读取 JSON 行格式日志（pd.read_json("api_gateway_logs.json", lines=True)），按 user_id 与 endpoint 分组统计 resource_id 去重数量，将 unique_ids 超过 50 的记录标记为可疑，用于发现同一用户枚举大量资源 ID 的 BOLA 行为。检测模式还包括：顺序资源 ID 枚举、通过请求头篡改绕过限流、单一来源的 401 激增（凭据扫描）、查询参数中的 SQL/NoSQL 注入，以及只读端点上的异常 HTTP 方法（DELETE、PATCH）。
使用方式：示例中筛选 status_code 为 401 的记录，按 source_ip 计数，将超过 100 次的来源判定为扫描器。
适用场景：API 安全监控、日志审计与异常访问排查。
限制：资料未提供安装方式、依赖版本、支持的日志字段结构、阈值调优建议及误报处理说明，实际使用需按自身日志格式调整字段名与阈值。