用途：在设计与审计 REST、GraphQL、gRPC API 时识别安全问题，按 OWASP API Security Top 10:2023 逐项组织，覆盖 API1 BOLA（按当前用户过滤资源、使用 UUID）、API2 认证缺陷、API3 对象属性级授权（字段白名单、DTO 防批量赋值与过度数据暴露）、API4 资源消耗（全局限流与认证端更严格限流、分页上限、请求体大小限制）、API5 功能级授权、API6 敏感业务流滥用、API7 SSRF（协议与主机白名单、拦截私有 IP）、API8 安全配置（CORS 白名单、生产环境错误脱敏、关闭 x-powered-by）、API9 清单管理（版本路径、Deprecation/Sunset 头）、API10 第三方 API 消费风险。
GraphQL 方面：用 graphql-depth-limit 限制查询深度、createComplexityLimitRule 限制复杂度、生产关闭 introspection、限制批量请求大小，并可仅允许持久化查询。JWT 方面：推荐 RS256 非对称算法、短有效期、校验 issuer/audience、刷新令牌轮换并失效旧令牌。
使用方式：作为技能在 API 设计、实现与安全审计环节参考；测试可结合 OWASP ZAP（zap-api-scan.py）、Nuclei（nuclei -u ... -t api/）、RESTler 编译与 fuzz；CI 中通过 GitHub Actions 调用 zaproxy/action-api-scan 扫描 openapi.json 并上传报告。
适用场景：需要审查或加固 REST/GraphQL/gRPC 接口的后端与安全工程工作。
限制：不适用于通用 API 设计模式（应使用 rest-api/graphql 技能）与认证搭建（应使用 jwt/oauth2 技能）；资料未提供具体性能影响、定价或版本支持范围。