用途：对 REST、GraphQL、gRPC、WebSocket API 执行安全自动化测试，覆盖 OpenAPI/AsyncAPI 规范导入、带认证的模糊测试与 OWASP API Top 10（含 BOLA）等场景。
授权边界：需提供 base URL、环境标签（lab/staging/prod）、限定范围的凭据与速率上限；除非明确授权，避免对生产写端点操作，优先使用幂等或 staging 流量；从产物中剥离令牌与 PII。
测试流程：导入 OpenAPI、GraphQL SDL、gRPC .proto、Postman collection、HAR 规范，否则用 katana/hetty 爬取；按端点×角色×参数类别（id、枚举、嵌套对象、文件）构建请求矩阵；认证测试含令牌篡改、alg=none、kid 混淆、受众替换、刷新重放、作用域降级；对象级授权通过跨角色枚举 ID 检测 BOLA/IDOR；功能级授权用低权限令牌调用 admin/owner 端点；批量赋值注入意外字段并观察持久化状态变化；输入处理测试类型混淆、原型污染、URL 参数 SSRF、路径遍历、反序列化；GraphQL 测试内省、别名限速绕过、批量查询、深度/复杂度 DoS；速率与重放测试 nonce 重用、幂等键冲突、状态竞态。
工具：ffuf、wfuzz、nuclei（api 模板）、kiterunner、mitmproxy、hetty、graphql-cop、clairvoyance、jwt_tool、restler、schemathesis。
输出契约：spec/ 规范化规范快照；requests/ 每个发现的可重放 HAR；findings.jsonl 含 {endpoint, method, role, class, severity, evidence, cwe, remediation}；report.md 含业务影响、优先修复项、作为 CI 钩子的回归测试。
限制：具体安装命令、收费与平台支持信息暂未提供。