用途：HTTP参数污染（HPP）技能用于分析同一请求中重复参数名（如 a=1&a=2）在浏览器、CDN/WAF、反向代理、应用框架与业务代码各环节被解析为不同值的情况，适用于授权安全测试中验证过滤器与业务逻辑读取不一致的问题。
主要能力：提供服务器行为矩阵，列出 PHP/Apache、ASP.NET/IIS、JSP/Tomcat、Django、Flask、Express、Perl/CGI、Ruby/Rack、Go net/http 等对重复键的典型默认处理（取首、取尾、逗号合并、数组化），并强调中间件与自定义解析器可能覆盖默认行为。给出基础重复键、数组式、数组与标量混合、编码 &、嵌套括号键、JSON 重复键等载荷模式。
使用方式：先以基线 a=1&a=2 指纹识别前端栈与源站，再交换顺序发送 a=1&a=2 与 a=2&a=1；对 JSON 测试重复键与 Content-Type 混淆。可结合 Burp Suite Repeater、OWASP ZAP 手动请求编辑器或自建脚本构造原始 HTTP 请求，保留参数顺序，比较首值/尾值解释差异。
适用场景：WAF 与应用解析不一致时的绕过验证、SSRF 中校验器与抓取器读取不同 URL、CSRF 令牌重复、支付等业务逻辑数值字段（金额、数量、价格）的跨层解释差异。
限制：HPP 测试可能改变服务器状态（支付、账户设置），仅可在明确授权范围内、使用受控账户进行，并在高影响请求前记录解析行为。资料未提供具体工具版本、价格或平台信息。