用途：评估 API 速率限制是否可被绕过，例如对登录等认证端点实施暴力破解、撞库或账号枚举，并检验限流在 API 版本、方法、编码格式上是否一致生效。须先取得书面授权，测试会发送大量请求，可能影响服务可用性。
主要能力：探测限流实现与基线（跟踪 X-RateLimit-*、Retry-After 等响应头）；测试基于 IP 的绕过（伪造 X-Forwarded-For、X-Real-IP、CF-Connecting-IP 等头）；路径变体绕过（尾斜杠、大小写、查询参数、分号、空字节、版本切换）；HTTP 方法与 Content-Type 切换绕过；账号标识轮换与参数污染绕过；使用 asyncio/aiohttp 做并发分布式测试以发现计数竞态。
使用方式：需 Python 3.10+ 及 requests、aiohttp、asyncio，Burp Suite Professional 配合 Turbo Intruder，cURL 手工验证；建议了解目标 CDN/WAF 基础设施并维护绕过头列表。输出按发现报告格式记录 ID、严重性、OWASP API4:2023 映射、受影响端点、确认的绕过方法与影响。
适用场景：认证端点限流评估、合规审计前验证、API 网关限流有效性测试。
限制：必须获得明确授权，否则不得使用；高请求量可能造成拒绝服务；易忽略密码重置、MFA、账号枚举等端点的限流，以及全局与分端点、认证与未认证限流的差异。资料未提供具体工具版本、价格或平台兼容性信息。