用途：在渗透测试中评估移动应用后端 API 的认证与授权机制，识别失效认证、不安全令牌管理、会话固定等问题。覆盖范围包括 JWT 常见漏洞（none 算法、弱签名、算法混淆、过期绕过）、OAuth 2.0/OIDC 移动流程（重定向、PKCE、作用域）、以及对象级授权缺陷（BOLA/IDOR）和会话管理。
主要能力与流程：映射认证端点（login、register、refresh、logout、forgot-password、verify-otp、me）；分析令牌格式与安全性，解码 JWT、检查签名与过期、用 hashcat -m 16500 等测试弱密钥；测试认证绕过（缺失、空或 null 令牌、过期令牌、他人令牌）；测试 IDOR 与越权（路径或请求体对象 ID 替换、普通用户访问 admin 端点）；测试会话管理（并发会话、登出与改密后令牌失效）；测试 OAuth 2.0/OIDC 移动流程（授权码拦截、PKCE 缺失、重定向 URI 操纵如 myapp://callback 的自定义 scheme 劫持、作用域提升）。
前提与工具：需要 Burp Suite 或 mitmproxy 作为移动设备代理、绕过 SSL pinning、有效的测试账号、Postman 或 curl、jwt.io 或 PyJWT；可用 jwt_tool、Autorize 等。
限制与注意事项：未经明确授权不得对生产 API 测试，并需注意速率限制；测试前需意识到速率限制可能掩盖问题，令牌出现在 URL 会暴露于日志，刷新令牌轮换可能锁死测试账号，移动端自定义 URI scheme 可能被恶意应用劫持。资料未提供具体平台的额外细节。