OWASP Noir 是用于 API 端点发现与攻击面分析的静态扫描工具，适合在渗透测试前做侦察、梳理微服务端点、检测影子 API，以及为 API 安全评估做准备。它通过分析源码识别路由，支持 REST、GraphQL、WebSocket 及部分 gRPC 和 OpenAPI/Swagger 定义，覆盖 Express、NestJS、Django、Flask、FastAPI、Spring Boot、Rails、Gin、Laravel、ASP.NET Core、Actix 等众多框架。
安装方式包括 Homebrew（brew install noir）、下载官方二进制、从源码用 Crystal 构建，或使用 Docker 镜像 ghcr.io/owasp-noir/noir:latest，安装后可用 noir --version 验证。基本用法为 noir -b /path/to/source，可加 -v 详细输出、-q 静默模式；用 -T 指定技术、--exclude 排除技术、--list-techs 查看支持列表。输出支持 JSON（默认）、YAML、SARIF、OpenAPI（oas3）、HAR、Markdown 和纯文本，可配合 --no-color、--include-path、--send-req、--send-proxy 等选项，便于接入 Burp/ZAP 或 CI/CD（如 GitHub Actions 上传 SARIF）。
限制：仅做静态分析，无法发现运行时动态生成的路由；框架覆盖有限，部分框架需正确的路由注解；不验证端点是否可访问，也不检测认证要求。它不用于漏洞扫描、依赖扫描、密钥检测或 IaC 分析，这些应使用 Semgrep、CodeQL、OSV-Scanner、Gitleaks、KICS 等工具。