用途：分析 GraphQL API 的安全漏洞，覆盖生产环境开启 introspection、缺少查询深度限制、无复杂度分析、批量请求滥用、基于别名的拒绝服务、缺少逐字段授权等。GraphQL 的灵活性在默认配置下会形成较大攻击面。
主要能力：按范围解析待分析文件，识别 schema 定义、resolver、服务端配置、中间件与授权指令；检测可用扫描器（semgrep 为主，graphql-cop 为专用审计器）；运行 semgrep scan --config auto --json --quiet <target>，graphql-cop 使用 graphql-cop -t <endpoint>；无论扫描器是否可用都进行人工分析，检查 introspection 是否在生产禁用、深度限制中间件、复杂度计算与限制、批量操作上限、别名是否计入限流与复杂度、敏感字段 resolver 的权限校验；--depth deep 时追踪完整 resolver 链、授权指令覆盖与订阅认证。
输出：按 findings schema 以 GQL 前缀编号，包含严重级别与置信度、文件位置与代码片段、利用场景、修复建议与 CWE 引用（CWE-200、CWE-400、CWE-862、CWE-770、CWE-284），OWASP A05:2021，STRIDE 信息泄露或拒绝服务。
限制：无扫描器时用 Grep 按检测模式查找，置信度标为 medium；具体规则与误报指引见 references/detection-patterns.md，标志规范见共享 schemas。资料未提供安装方式、收费与平台信息。