用途：发现和清点组织环境中未被文档记录、未受安全管控的影子 API 端点，帮助掌握 API 安全态势。
主要能力：
- 流量对比分析：将实时 API 访问日志与 OpenAPI/Swagger 规范比对，找出未文档化端点；对路径中的数字、UUID、token 等动态段做归一化；统计请求量、来源 IP、状态码及是否带认证头。
- 风险分级：根据是否认证、请求量、来源 IP 数量、是否返回成功状态、写操作方法以及 admin/internal/debug/test/backup/config 等敏感路径关键词，计算风险并分为 CRITICAL/HIGH/MEDIUM/LOW。
- 云配置扫描：使用 AWS CLI 检查 API Gateway、API Gateway V2、Lambda 函数 URL、ALB 监听器规则等潜在影子端点，例如 aws apigateway get-rest-apis、aws apigatewayv2 get-apis、aws lambda list-function-url-configs。
- 源码挖掘：用 grep 搜索 Express、Flask/Django、Spring Boot 等框架中的路由定义，并与 OpenAPI 规范 diff 比对。
- 治理：给出 Kong 插件配置思路，通过 request-validator 和 pre-function 拦截未注册路径并记录告警。
使用方式：准备配置了流量日志的 API 网关或反向代理、网络流量捕获、源码仓库与 CI/CD 配置、云配置扫描权限、API 文档清单以及 Python 3.8+。运行脚本时传入 OpenAPI 规范文件，脚本会加载文档化端点、处理 /var/log/api/access.log 访问日志（支持 common 与 JSON 格式），输出影子端点报告并保存为 shadow_api_report.json。
适用场景：安全事件调查、威胁狩猎查询与检测规则构建、SOC 分析流程、验证相关攻击技术的监控覆盖。
限制：需具备日志与规范数据，缺失则无法比对；归一化规则和风险评分阈值需按环境调整；资料未提供具体收费、价格或平台支持范围的更多细节。