用途：指导经授权的 Web 应用与 API 安全评估，包括制定或校验交战规则、资产清单、测试账号与紧急停止流程；测试 OWASP Top 10 类别（注入、失效认证、访问控制、SSRF、XSS、CSRF、安全配置错误、易受攻击组件（仅表层）、业务逻辑）；评估 REST 与 GraphQL API（授权、批量赋值、BOLA/BFLA、速率限制、内省、批处理）；使用 Burp Suite、OWASP ZAP 或同类代理开展手工工作流并验证发现；产出以修复为导向的报告并复测严重/高危问题。
核心流程：1）范围与授权——无书面授权不得测试，确认已签署 SOW/ROE（URL、API、环境、方法、时间窗、联系人），定义范围外内容（第三方、生产 PII、未批准的 DoS、破坏性写入），约定严重性标准、证据处理与数据最小化，建立紧急停止与升级路径，优先使用预发环境、专用测试租户或匿名化数据。2）应用测绘与 OWASP 测试——清点路由/API、认证面、角色矩阵，手工加定向自动化，逐项验证发现；映射未认证、已认证与特权流程，优先状态变更端点与多步工作流。3）利用纪律（仅限范围内）——最小 PoC，证据中脱敏令牌与 PII，记录前置条件（角色、会话、功能开关、租户），在约定影响处停止，避免不必要的数据外泄，收尾前移除测试账号、上传的 shell 与注入记录。4）报告、修复与复测——每条发现含标题、严重性、CWE/OWASP 映射、影响、复现、证据、修复建议、复测标准；交付执行摘要与技术附录，对严重/高危安排复测。
不适用：网络分段、无线、AD 或内部基础设施渗透测试；越狱 LLM、提示注入或智能体工具滥用；主导红队行动、紫队或检测验证；SIEM/EDR 告警分诊或 SOC 剧本；现场事件指挥；SAST/SCA/DAST 门禁、SBOM 或流水线安全；实施 WAF 规则、IAM 或 SIEM 检测；云组织护栏、CSPM、着陆区设计；安全项目战略、GRC 或渗透测试项目治理。
限制：资料未提供具体安装命令、价格、平台支持或效果数据；所有测试须在书面授权范围内进行。