用途：用 Postman 组织可重复的 API 安全测试集合，覆盖 OWASP API Security Top 10 中的授权、认证、数据暴露与注入等风险；配合 Newman 在 CI/CD 中做安全回归。禁止在未授权情况下对生产 API 使用，因为会发送恶意载荷。
主要能力：BOLA（API1）测试跨用户读取/修改资料与订单；认证（API2）测试无效/过期令牌、缺失认证、登录 SQL 注入与账号枚举；数据暴露（API3）检查敏感字段与安全响应头；BFLA（API5）测试普通用户访问管理端点；批量赋值测试 role 等字段；速率限制测试 429 与相关响应头。
使用方式：需 Postman 工作区、目标 API 的 OpenAPI/Swagger 规范、至少三种角色测试账号；安装 Newman：npm install -g newman。用环境变量管理 base_url、令牌与测试数据，集合级 pre-request 脚本自动登录，测试脚本用 pm.test 断言。Newman 运行示例：newman run "API-Security-Tests.postman_collection.json" --environment "Security-Test-Environment.postman_environment.json" --reporters cli,htmlextra,junit。可循环不同角色环境运行，并在 GitHub Actions 中对 API 变更触发。
限制：资料未提供具体授权范围、报告解读标准或对生产环境的明确处理细则。资料提示在 CI/CD 中应关注 Newman 退出码，否则失败测试可能被静默忽略。