用途：在获得目标系统所有者明确书面授权的前提下，对 API 进行结构化的安全评估，流程从接口发现延续到报告输出。仅限教育用途或授权安全测试，未获确认时应保持只读并只提供防御性指导，建议使用沙箱或隔离环境。
主要能力：
- API 发现与侦察：Vespasian 无头浏览器爬取生成 OpenAPI 3.0/GraphQL SDL，Entropy --discover 从 robots.txt 与 JS 提取端点，Kiterunner/ffuf 爆破未文档化路径，检查 /swagger.json、/openapi.json、/graphql、/api-docs 等常见路径；GraphQL 内省分三级尝试。
- 认证测试：JWT 分析（alg:none、密钥混淆、弱 HMAC 爆破 jwt_tool -C -d wordlist.txt、声明篡改、kid 注入）；OAuth 2.0 的 redirect_uri 操控、state 缺失、Token 泄漏、PKCE 缺失检测。
- 授权测试：BOLA/IDOR 的 ID、UUID、用户名遍历，Burp Autorize 双会话重放对比；BFLA 的越权执行、HTTP 方法切换、版本降级、批量操作注入。
- GraphQL 专项：内省泄漏、别名过载、批查询、字段重复、指令过载、循环查询、字段建议、GraphiQL 暴露、GET 突变、追踪调试模式等 12 项测试。
- REST 输入验证：方法切换、Content-Type 篡改、NoSQL 注入、SSRF、XXE、参数污染、批量赋值。
- 业务逻辑与差分测试、WebSocket 测试、限速绕过与 DoS、数据暴露检查、CI/CD 集成。
使用方式：工具链包括 Vespasian、Entropy、Escape DAST、api.sh、FireTail、jwt_tool、Burp Autorize，获取方式见 GitHub 或对应官网。执行任何探测、利用、变更、持久化、数据提取或凭据访问命令前，必须先向用户确认确切目标 URL/IP/账号/资源与书面授权范围，展示确切命令及预期效果，并在当前对话中获得明确确认。
限制：仅可对明确授权的 API 运行；部分检查具有侵入性，优先使用非生产镜像；缺少确认时保持只读。本资料未提供具体收费、价格或效果说明。