用途：测试 API 是否返回超出客户端所需的字段，即过度数据暴露（OWASP API3:2023）。核心思路是拦截原始 API 响应，与 UI 实际渲染内容对比，找出多余字段和敏感数据。
主要能力：响应字段递归提取；敏感数据模式检测（邮箱、电话、SSN、信用卡、密码哈希、API Key、内网 IP、AWS Key、JWT 等）；UI 展示字段与 API 实际返回字段对比；关联端点中嵌套用户对象泄露检测；GraphQL 内省与过度获取分析；调试头与错误响应中的堆栈、SQL 信息泄露检测。
使用方式：需书面授权并明确目标端点与范围；配置 Burp Suite Professional 或 mitmproxy 作为拦截代理；准备不同权限级别的两个测试账号；使用 Python 3.10+ 及 requests、json 库；可结合 OpenAPI 文档对比实际响应。工作流包括响应模式发现、敏感模式扫描、UI 与 API 对比、关联端点用户对象测试、GraphQL 过度获取分析、调试与内部数据泄露检测。
适用场景：前端仅展示部分字段但 API 返回额外字段；移动应用 API 面向多客户端返回多余数据；响应中包含 UI 未显示的 PII；GraphQL 可请求任意字段；微服务重构后内部数据泄露到公开端点。
限制：必须获得书面授权，测试涉及捕获和分析潜在敏感个人数据；未授权使用违法。资料未提供具体安装命令、收费信息或平台支持范围。