用途：该工作流用于对 REST 与 GraphQL API 进行安全测试，覆盖认证、授权、速率限制、输入校验以及 API 特有漏洞，适用于测试 REST API 安全、评估 GraphQL 端点、验证 API 认证、测试 API 速率限制和漏洞赏金 API 测试。
主要能力与阶段：工作流分为七个阶段。一、API 发现：枚举端点、记录 API 方法、识别参数、梳理数据流、审阅文档，可调用 api-fuzzing-bug-bounty 与 scanning-tools。二、认证测试：测试 API 密钥校验、JWT 令牌、OAuth2 流程、令牌过期与刷新令牌，可调用 broken-authentication 与 api-security-best-practices。三、授权测试：测试对象级授权、功能级授权、基于角色的访问、权限提升与多租户隔离，可调用 idor-testing。四、输入校验：测试参数校验、SQL 注入、NoSQL 注入、命令注入与 XXE 注入，可调用 api-fuzzing-bug-bounty 与 sql-injection-testing。五、速率限制：测试速率限制响应头、暴力破解防护、资源耗尽与绕过技术并记录限制，可调用 api-security-best-practices。六、GraphQL 测试：测试内省、查询深度、查询复杂度、批量查询与字段建议，可调用 api-fuzzing-bug-bounty。七、错误处理：测试错误消息、信息泄露、堆栈跟踪、日志记录并记录发现，可调用 api-security-best-practices。
使用方式：资料给出可复制的提示词，例如使用 @api-fuzzing-bug-bounty 发现 API 端点、使用 @broken-authentication 测试 API 认证、使用 @idor-testing 测试 API 授权、使用 @api-fuzzing-bug-bounty 模糊测试 API 参数、使用 @api-security-best-practices 测试速率限制、使用 @api-fuzzing-bug-bounty 测试 GraphQL 安全、使用 @api-security-best-practices 审计 API 错误处理。
检查清单与质量门：检查认证是否可用、授权是否强制执行、输入是否校验、速率限制是否启用、错误是否净化、日志是否开启、CORS 是否配置、HTTPS 是否强制。质量门要求所有端点已测试、漏洞已记录、提供修复建议、生成报告。相关捆绑工作流包括 security-audit、web-security-testing 与 api-development。
限制：资料未提供具体安装命令、依赖版本、支持的平台、收费方式或实际效果数据，这些信息暂未提供。