用途：在授权漏洞赏金或渗透测试中，系统化测试 REST、SOAP、GraphQL API，发现并记录 API 特有攻击面。
主要能力：API 侦察与端点枚举（Swagger/OpenAPI、Kiterunner）；认证路径与限速测试；IDOR/BOLA 测试及绕过技巧（数组包裹、JSON 嵌套、重复参数、参数污染、通配符）；注入测试（JSON 中的 SQL 注入、命令注入、XXE、SSRF、.NET Path.Combine 路径穿越）；HTTP 方法篡改与 Content-Type 切换；GraphQL 内省、IDOR、SQL/NoSQL 注入、批处理限速绕过、嵌套查询 DoS、XSS；403/401 端点绕过；PDF 导出中的 LFI/SSRF 与端口扫描；limit 参数 DoS。
必要用法：准备 Burp Suite 或同类代理、API 字典（SecLists、api_wordlist）、Python 及目标端点文档。常用命令如 kr scan https://target.com -w routes-large.kite、python3 json2paths.py swagger.json；GraphQL 内省可用 curl -X POST https://target.com/graphql -H "Content-Type: application/json" -d '{"query":"{__schema{types{name,fields{name}}}}"}'。列出工具包括 Fuzzapi、API-fuzzer、Astra、apicheck、Kiterunner、APIKit、InQL、GraphCrawler、graphw00f、clairvoyance、batchql、graphql-cop、Swagger-EZ、swagroutes、MindAPI、json2paths。
适用场景：授权漏洞赏金、渗透测试、防御验证、受控教学。
限制与注意：仅限授权环境；需分别测试移动、Web、开发者 API；检查所有版本 /v1、/v2、/v3；同时验证已认证与未认证访问；不应假定各版本安全控制一致，不应跳过未公开端点与限速检查。可加 X-Requested-With: XMLHttpRequest 头模拟前端，查看 archive.org 历史端点，测试竞态条件。资料未提供具体收费标准、平台与效果数据。