该技能面向已获授权的安全评估场景，目标是 API 驱动应用的业务逻辑层。资料指出，传统漏洞扫描器难以覆盖此类攻击，因为需要理解应用工作流、状态转换与端点间信任关系。
工作流程：使用 Arjun、ParamSpider 及手工方式测绘完整 API 面（含未公开端点）；建模业务流程，识别多步交易、状态机与信任链；用并行请求测试竞态条件；提取并分析 JWT 的算法混淆、弱签名与声明注入；若存在 GraphQL，测试批处理放大、查询深度 DoS 与内省泄漏；探测分页的数据枚举；测试 Webhook 配置的 SSRF 与回调劫持；在客户端代码、错误响应与公开仓库中搜索 API 密钥泄漏；核验全部端点的授权一致性；按财务或运营影响记录业务后果。
主要能力覆盖：API 链式业务逻辑绕过（如跳过支付直接确认订单、价格操纵、状态篡改、负数量、币种混淆）；GraphQL 内省、批处理暴力破解放大、查询深度与字段重复放大；分页越界枚举与游标伪造、排序/过滤参数注入；Webhook 劫持与 SSRF 内网探测；并发请求竞态（重复使用一次性优惠券、超额转账）；JWT 算法混淆、none 算法、kid 注入、jku 滥用、声明篡改；公开仓库与 JS 包中的密钥提取；未公开端点发现。
限制：仅适用于明确授权的评估，资料未提供合规授权流程、目标范围界定或法律依据；未说明工具版本、依赖安装步骤、平台兼容性与成功率；示例中的目标地址、令牌与密钥均为占位符。