用途：帮助测试、调试和校验 REST 与 GraphQL API，覆盖认证、错误处理与边界条件，工具涉及 curl、httpie、Postman 集合和脚本化测试套件。
主要原则：先阅读 API 文档或 OpenAPI/Swagger 规范再测试；先测正常路径，再系统测试错误用例、边界条件；校验状态码、响应头、响应体结构和数据类型，而不只是请求是否成功；凭证不要写入命令历史和脚本，应使用环境变量。
curl 用法要点：GET 可用 curl -s https://api.example.com/users | jq .；POST JSON 可用 curl -s -X POST -H "Content-Type: application/json" -d '{"name":"test"}' https://api.example.com/users；认证头可用 curl -s -H "Authorization: Bearer $TOKEN" https://api.example.com/me；-v 查看请求、响应头与 TLS 握手；-o response.json -w "%{http_code}" 保存响应并输出状态码；-L 跟随重定向；--connect-timeout 5 --max-time 30 设置超时。
测试方法：认证方面验证未认证请求返回 401、过期令牌返回 401、错误角色返回 403；输入校验发送缺失必填字段（预期 400）、非法类型、空字符串、超长字符串和特殊字符；分页测试首页、末页、越界页、零或负 limit；幂等性重复发送同一 POST/PUT 请求观察行为；限流快速请求验证 429 与 Retry-After；CORS 检查 Access-Control-Allow-Origin 及浏览器场景下的 OPTIONS 预检。
GraphQL：用 introspection 查询发现结构，例如 { __schema { types { name } } }；测试查询深度与复杂度限制；使用变量而非内联值；验证 mutation 返回更新后的对象、subscription 正确发出事件。
调试失败请求：先看状态码，4xx 为客户端错误、5xx 为服务端错误；对照文档检查请求头，缺少 Content-Type 或 Accept 是常见问题；用 curl -v 或 --trace 查看原始 HTTP 交互；检查 URL 或请求头中的 API 版本；换网络重试以排除防火墙或代理问题。
限制与注意：不要在共享脚本中硬编码 API 密钥或令牌；不要在没有防护措施时对生产 API 执行破坏性操作（DELETE、批量更新）；不要认为 200 就代表成功，必须校验响应体；不要只用有效数据测试，最重要的测试覆盖非法与恶意输入。文档未提供收费、价格、平台和具体安装步骤等信息。