用途：评估实时通信 API 的 WebSocket 安全，覆盖握手认证、CSWSH、消息注入与拒绝服务等风险。仅可在获得书面授权后使用，测试可能中断实时服务并影响其他连接用户。
主要能力：
- 端点发现与握手分析：观察升级请求与响应头、子协议、扩展，并发送测试消息。
- 认证与授权测试：检测无认证、无效/过期令牌、令牌置于查询参数等情形，以及连接建立后消息是否仍校验授权。
- CSWSH 测试：伪造多种 Origin（无 Origin、攻击者域、子域混淆、null、HTTP 降级）判断服务端是否校验 Origin，并提供攻击页面概念验证。
- 消息注入测试：针对 SQL、NoSQL、XSS、命令注入、SSRF、超大负载等构造 JSON 载荷，分析响应错误与数据泄露迹象。
- 拒绝服务测试：消息洪泛、超大消息、连接耗尽。
必要用法与前提：需书面授权并明确端点与范围；使用 Burp Suite Professional 拦截 WebSocket；Python 3.10+ 及 websockets、asyncio；浏览器开发者工具观察握手与帧；wscat 可通过 npm install -g wscat 安装，命令如 wscat -c wss://target.com/ws -H "Authorization: Bearer token"；了解所用子协议（JSON-RPC、STOMP 或自定义）。
适用场景：聊天应用等实时通信的 WebSocket 安全评估。
限制：资料未提供具体收费、价格与效果数据；测试前必须取得授权，避免干扰生产实时服务。