用途：对 Web 应用与 API（REST/GraphQL）进行综合漏洞评估，识别安全缺陷、逻辑错误与合规问题。
前提条件：需资产所有者签署的书面授权与范围文档，明确目标环境分类（内部/外部/混合）及交战规则（测试时段、通知流程、紧急联系人）。
规避配置：Quiet 适用于生产系统与 WAF 防护目标，低请求速率、头部轮换、时序抖动；Standard 适用于预发环境与限时测试，速度与隐蔽性平衡；Aggressive 适用于内部网络与全面覆盖，最大并行、完整载荷。
环境搭建：使用 network_mode: host 的 Docker 容器以获得完整网络访问，挂载卷持久化报告 ./reports:/data，至少分配 4GB 内存。
核心工作流：范围与侦察（httpx、whatweb）；内容发现（dirsearch、ffuf、katana）；漏洞扫描（nuclei、nikto）；认证测试（登录流程、JWT、会话管理、MFA 绕过）；业务逻辑测试（价格篡改、竞态条件、IDOR、流程绕过）；依赖扫描（pip-audit、trivy）；人工验证（burpsuite、zap）；安全利用（sqlmap 或自定义脚本演示影响）；报告（references/report-template.md）。
OWASP Top 10（2021）覆盖：A01 访问控制失效、A02 加密失败、A03 注入、A04 不安全设计、A05 安全配置错误、A06 易受攻击组件、A07 认证失败、A08 软件与数据完整性、A10 SSRF 均已覆盖；A09 日志与监控失败为部分覆盖。
工具分类：侦察（httpx、katana、gau、waybackurls）；内容发现（dirsearch、ffuf、gobuster、feroxbuster）；漏洞扫描（nuclei、nikto、jaeles）；注入测试（sqlmap、dalfox、xsser）；API 安全（arjun、graphql_scanner、jwt_analyzer）；认证测试（http_intruder、browser_agent）；依赖扫描（pip-audit、npm-audit、trivy）；OOB 检测（interactsh）；交互式（burpsuite、zaproxy、browser_agent）；报告（pandoc、wkhtmltopdf）。
参考文件：references/tools.md、references/workflows.md、references/report-template.md。
限制：必须获得书面授权方可测试；A09 仅部分覆盖；具体收费、价格与平台支持情况暂未提供。