用途：作为 API 渗透测试的轻量路由技能，按当前阶段加载对应工作流、载荷文件或方法论文档，避免一次性预载全部内容。适用于 REST、GraphQL、gRPC、WebSocket API 的测试，OWASP API Top 10（2023）覆盖评估，BOLA/BFLA/BOPLA 授权矩阵分析，JWT/OAuth/API Key 认证测试，端点、参数与模式模糊测试，OpenAPI/Swagger/GraphQL 模式解析与攻击，以及限流与资源消耗测试。
主要能力：提供决策树按协议与目标分流；工作流索引含 rest_testing、graphql_testing、graphql_introspection_triage、grpc_testing、websocket_testing、jwt_attack_chooser；方法论含 api_recon、bola_bfla_matrix、bounty_patterns_2024_2026；载荷含 bola_idor、bfla_privilege、graphql_queries、jwt_attacks、mass_assignment、injection；参考含 OWASP API Top 10（2023）与工具版本；示例含 BOLA、JWT alg=none、GraphQL mutation BOLA 的 finding JSON。
使用方式：先判断是否存在模式（OpenAPI/GraphQL SDL/.proto），有则先解析并将 endpoints.txt 交给模糊测试器，无则走 api_recon；按协议选择工作流；存在 JWT 时按 alg-none→key-conf→kid→brute 顺序执行。构建 BOLA/BFLA 矩阵时可按认证上下文派生多个子代理（未认证、用户 A、用户 B、管理员、服务账号），各自遍历端点后由主代理比对结果。独立 I/O 可并行（模式发现、端点发现、认证枚举、nuclei 模板包），状态相关步骤须串行（模式解析先于模糊测试、授权矩阵比对等待各角色扫描完成、JWT 攻击链有序）。
限制：不用于浏览器/DOM 测试（改用 dast-automation）、API 源码级审查（sast-orchestration）、移动端逆向（mobile-security）、云 IAM/API 网关配置审计（cloud-security）。每条发现须按 schemas/finding.json 输出，含 endpoint、http_method、api_type、auth_context、owasp_api_id 等字段。工具最低版本：nuclei >= 3.3、ffuf >= 2.1、grpcurl >= 1.9、jwt_tool >= 2.2、graphql-cop >= 1.13，最后验证于 2026-04。