用途：对 API 面（REST 路由、GraphQL resolver、tRPC、gRPC、Server Actions、webhook 处理器、内部 RPC）做以接口契约为驱动的安全审计，对照 OWASP API Security Top 10（2023）。与面向整个代码库的 owasp-audit 区分，二者在类别重叠处互相引用。
主要能力：先界定范围（盘点 API 面、识别认证模型与租户模型、定位敏感资源），再按 API1–API10 清单逐项检查：BOLA 的对象属主校验与 ORM 关联遍历；JWT alg none、密钥比较、刷新令牌轮换、API key 位置等认证缺陷；BOPLA/过度数据暴露与批量赋值；速率限制、分页上限、GraphQL 深度与复杂度；BFLA 与 HTTP 动词篡改；敏感业务流的自动化防护；SSRF 与重定向跟随；CORS、错误信息、introspection、安全头等配置错误；旧版本与未文档化/internal 端点等资产清单问题；以及对第三方 API 响应的不安全消费。附带 GraphQL、REST、webhook 的专项检查。
使用方式：依据用户提供的代码或指向进行审计；对每项发现按严重级别、端点、处理位置、CWE、描述、最小复现请求、脆弱代码、修复代码、验证方式记录，并给出按类别分组的执行摘要和端点清单（已审计且干净／已审计且有 N 项发现／不适用及原因）。
限制与边界：只审计用户提供的 API；修复建议而非利用武器化；低置信度标为“潜在”；未经书面授权不得对生产端点运行 BOLA 验证，应先读代码再提出测试环境验证方案；拒绝大规模扫描、撞库或主动滥用流程利用。tsc --noEmit 与构建通过不等于修复已验证，修复需在运行时以对抗性输入确认。未提供具体收费标准与运行环境要求。