API Security Review 是一个面向 API 安全评估的技能，遵循 plays/api-security-review.md 中定义的剧本执行。其定位是在审查 OpenAPI/Swagger 规范、审计 REST、GraphQL、gRPC 等 API 时，提供覆盖 OWASP API Security Top 10（2023）的系统性检查。
用途方面，该技能用于对 API 进行综合安全评估，既适用于解析接口规范进行静态审查，也适用于结合代码扫描与运行时测试发现风险。
主要能力包括以下几个部分。
发现与侦察：解析 OpenAPI/Swagger 规范或从代码中扫描端点；识别认证机制（JWT、OAuth 2.0、API key、mTLS）；梳理 API 网关与中间件配置；枚举所有 API 版本及已弃用端点。
认证深入分析：检查 JWT 安全（算法混淆、弱签名、令牌过期）；检查 OAuth 2.0 流程（PKCE、state 参数、redirect URI 校验）；检查 API key 暴露与轮换策略；检查会话管理与令牌存储。
针对全部 10 项 OWASP API 风险结合攻击场景进行评估： API1 BOLA——可预测 ID 导致的 IDOR、批量端点绕过、所有权校验缺失； API2 认证失效——JWT 攻击、OAuth 缺陷、暴力破解、撞库； API3 BOPA——批量赋值、响应过度暴露、字段级授权绕过； API4 资源消耗——速率限制绕过、分页滥用、GraphQL DoS； API5 BFLA——管理员端点发现、横向/纵向权限提升； API6 业务流——自动化滥用、库存耗尽、爬取攻击； API7 SSRF——URL 绕过、DNS 重绑定、云元数据访问； API8 配置错误——CORS 绕过、详细错误信息、缺失安全头； API9 清单管理——影子 API、僵尸端点、版本混淆； API10 不安全消费——XXE、反序列化、webhook 重放攻击。
自动化测试：运行 API 安全扫描器（OWASP ZAP、Burp Suite、Postman 测试）；使用特定 payload 测试常见漏洞；验证速率限制与节流机制。
API 网关与基础设施审查：检查 Kong、nginx、Envoy、AWS API Gateway 配置；检查 WAF 规则与绕过机会；检查 TLS 配置与证书校验。
输出方面，该技能生成综合 API 安全报告，包含：带认证机制的 API 面清单；覆盖全部 10 个类别的严重性评级风险矩阵；带概念验证示例的详细发现；利用场景与业务影响分析；含代码示例的优先级修复路线图；测试工件与漏洞证据。
限制与依赖方面，该技能引用 OWASP API Security Top 10（2023）、OWASP ASVS v5.0 的 V13 API 与 Web 服务、OWASP Testing Guide 的 WSTG-APIT，以及 OWASP Cheat Sheet 中的 REST Security、GraphQL Security、JWT Security、OAuth 2.0。资料未提供具体收费、价格、平台或额外使用步骤信息。