用途：对 REST 与 GraphQL API 实现做静态代码分析，识别映射到 OWASP API Security Top 10:2023 的 API 安全问题，覆盖 JavaScript/TypeScript（Express、Fastify、NestJS）、Python（Flask、Django、FastAPI）、Go（net/http、Gin）、Java（Spring Boot）。
主要能力：检查 10 类 API 专属问题，包括对象级授权失效（BOLA）、认证失效、对象属性级授权失效（过度数据暴露与批量赋值）、无限制资源消耗、功能级授权失效、SSRF 等。每项发现映射到 CWE 与 OWASP API Top 10:2023 分类，并给出 UNSAFE/SAFE 代码对照与修复建议，按严重级别去重排序后生成报告。
使用方式：无需安装外部工具，纯代码分析。先检测项目框架，再定位路由、控制器、解析器、中间件与配置文件，逐文件运行 10 项检查，记录文件路径与行号，最后汇总发现总数、严重级别分布与前三项修复优先级。
适用场景：审计 API 安全、评审 API 端点、检查 OWASP API Top 10、BOLA、授权与认证问题；评审 REST 路由处理器、GraphQL 解析器或 API 中间件；PR 修改认证、授权或输入校验逻辑时；涉及速率限制、批量赋值、过度数据暴露、SSRF 时。
限制：不做运行时/动态 API 渗透测试（应使用 DAST 工具）；不处理加密实现问题（应使用 crypto-audit）；不处理基础设施安全（应使用 iac-scanner）；不做容器安全扫描（应使用 docker-scout-scanner）；不覆盖 TLS/加密套件配置；不覆盖 XSS、CSRF 或 OWASP Web Top 10，仅覆盖 OWASP API Top 10:2023。