用途：识别应用工作流强制、业务规则校验与状态机完整性方面的缺陷，这类问题无法通过污点分析或模式匹配发现，需要理解预期行为并找出偏差。
核心流程：一是工作流映射，从侦察产物与源码中提取结账、注册、审批链、引导等跨步骤流程，记录预期状态流转与业务约束；二是规则提取，梳理服务端业务约束，如价格校验、数量限制、角色门禁、时间限制、优惠券规则、推荐次数限制；三是步骤绕过，跳过、重放、重排多步骤流程，或直接访问最终步骤端点而不完成前置条件（WSTG-BUSL-06）；四是数据完整性滥用，提交负数量、零价商品、边界值、业务字段类型混淆，测试伪造请求参数（WSTG-BUSL-02/03）；五是功能次数限制绕过，测试优惠券复用、推荐循环、刷票、通过合法端点造成资源耗尽（WSTG-BUSL-05）；六是文件上传逻辑，测试意外文件类型、超大文件、多语言文件、内容类型不匹配、文件名路径穿越（WSTG-BUSL-08/09）；七是支付测试，在结账各阶段测试价格篡改、币种混淆、折扣叠加、部分支付滥用（WSTG-BUSL-10）。
WSTG 覆盖：BUSL-01 至 BUSL-10 全部标记为已支持。
前提条件：需书面授权且明确包含业务逻辑测试范围；准备多权限级别测试账号（普通用户、管理员、付费用户等）；金融测试需测试支付方式或沙箱支付环境；任何数据变更测试（下单、改账户）需有回滚方案。环境上需配置 Burp Suite Professional 的 Repeater/Intruder、Playwright 或 Selenium 做多步骤浏览器自动化、代理抓取全部流量，并预置产品、优惠券、账号等测试数据。
工具类别：请求篡改用 Burp Repeater、Burp Intruder、mitmproxy；浏览器自动化用 Playwright、Selenium；脚本用 Python requests、aiohttp；文件上传用自定义多语言文件生成器、ExifTool；支付测试用 Stripe 测试模式、PayPal 沙箱。参考文件包括 references/tools.md（工具函数签名与参数）与 references/workflows.md（攻击模式定义与测试向量）。
限制：具体安装命令、代码示例与进阶参数暂未提供，需结合上述参考文件与实际授权范围使用。