用途：对 API 驱动的应用执行授权渗透测试，覆盖 REST、gRPC、WebSocket 三类攻击面，并围绕 OWASP API Security Top 10 2023 展开。资料强调所有技术均以书面授权与明确范围为前提，目标是发现可导致未授权数据访问、权限提升或服务中断的 API 层漏洞。
主要能力：包括 API 表面测绘（收集 OpenAPI/Swagger、gRPC 反射结果、WebSocket 端点）；认证机制枚举（API key、OAuth、JWT、会话令牌）；BOLA/IDOR 测试（跨认证上下文替换对象标识符）；BFLA 检查（跨角色与 HTTP 方法探测授权边界）；参数模糊测试（批量赋值、Content-Type 切换、动词篡改）；限流与资源消耗评估；gRPC 专项（反射枚举、元数据注入、protobuf 操作）；WebSocket 安全（Origin 校验、消息完整性、CSWSH）；经由 URL 参数的 SSRF 检测；并按复现步骤与严重等级记录发现。
使用方式：资料给出以 curl、grpcurl、websocat、mitmproxy 与 Python 脚本为主的命令与流程，例如用 grpcurl -plaintext target:50051 list 做反射枚举，用 curl 重放不同对象 ID 验证 IDOR，用 websocat 指定 Origin 测试 WebSocket 校验，并提供了 gRPC 检查用 mitmproxy addon 与 WebSocket 消息注入测试脚本。命令与代码需保持原样使用。
适用场景：已授权红队、API 安全评估、gRPC/WebSocket 专项测试。
限制：必须在书面授权与定义范围内进行；资料未提供具体收费、价格、平台支持或效果数据；部分内容（如检测者视角末尾）原文不完整，暂未提供完整细节。