用途：这是 API 安全测试的路由入口。在使用更深入的主题技能之前，先用它判断当前 API 问题主要属于侦察/文档、对象授权、令牌信任还是 GraphQL/隐藏参数，再路由到相应子技能。适用于目标暴露 REST API、移动后端或 GraphQL 端点，需要先确定 API 测试顺序，或希望把对象授权、JWT、GraphQL、隐藏字段作为独立轨道处理时。
主要能力与技能地图：API 侦察与文档（OpenAPI、Swagger、版本漂移、隐藏文档）；API 授权与 BOLA（BOLA、BFLA、方法滥用、隐藏可写字段）；API 认证与 JWT 滥用（bearer token、头部信任、声明滥用、限速绕过）；GraphQL 与隐藏参数（内省、批处理、未文档化字段、隐藏参数）。
快速分流：出现 Swagger 或 OpenAPI 时路由到 api-recon-and-docs；URL、JSON、头部或 GraphQL 参数中出现 ID 时路由到 api-authorization-and-bola；流量中可见 JWT 时路由到 api-auth-and-jwt-abuse；存在 /graphql 或批处理 JSON 数组时路由到 graphql-and-hidden-parameters；注册、登录或资料更新接受额外字段时先走 api-authorization-and-bola 再走 api-auth-and-jwt-abuse。
推荐流程：先处理暴露的端点与文档资产；再评估对象级与功能级授权；然后评估令牌、头部、签名与限速边界；若存在 GraphQL 或复杂 JSON，继续处理隐藏字段与架构滥用。
相关类别：auth-sec、business-logic-vuln、recon-for-sec。
限制：资料未提供具体命令、安装方式、支持的平台、收费信息或效果保证，暂未提供。