用途：在基础 BOLA/GraphQL 检测之外，开展专门的 API 漏洞测试，覆盖 OWASP API Security Top 10（2023）。
主要能力：按十大类别组织测试，包括 API1 对象级授权（IDOR）、API2 认证缺陷、API3 属性级授权（批量赋值、数据过度暴露）、API4 无限制资源消耗（速率限制、复杂度）、API5 功能级授权（BFLA、HTTP 方法切换）、API6 敏感业务流滥用、API7 SSRF、API8 安全配置错误（CORS、头部、版本）、API9 库存管理不当（影子 API、废弃版本）、API10 第三方 API 不安全消费。
使用方式：需事先取得书面授权且范围明确包含 API 测试；准备 API 文档（OpenAPI/Swagger、GraphQL schema）、多权限级别测试账号；与目标方确认可接受的请求量。环境可用 Postman 或 Insomnia 手工探测，Burp Suite 加 API 扩展，GraphQL Voyager 查看 schema，grpcurl 测试 gRPC；Kiterunner 发现未文档化端点，Arjun、x8、ParamSpider 检测隐藏参数，ffuf 与自定义脚本做模糊测试，graphql-cop、InQL、BatchQL 针对 GraphQL，Turbo Intruder 与自定义 aiohttp 脚本验证速率限制。核心流程为 API 发现、BFLA、批量赋值、速率与资源、数据过度暴露、不安全消费与版本管理。
限制：资料未提供具体命令示例、脚本代码、版本要求、收费信息或效果数据；工具功能签名见 references/tools.md，攻击模式与测试向量见 references/workflows.md。