用途：用于对 REST、GraphQL 及其他 API 进行渗透测试，发现认证绕过、授权缺陷、IDOR、批量赋值、注入攻击和速率限制等问题。适用请求包括 API 安全测试、漏洞查找、端点发现、业务逻辑测试、模糊测试与文档分析。
主要能力与内容：
- API 发现与侦察：常见路径（/api/、/api/v1/、/graphql、/swagger、/openapi.json、/api-docs 等），目录模糊测试命令如 ffuf -u https://target.com/FUZZ -w api-wordlist.txt -mc 200,301,302,403、gobuster dir -u https://target.com -w api-paths.txt，从 JS 提取端点，以及 Swagger/OpenAPI 文档获取。
- REST 测试：测试各 HTTP 方法、方法覆盖头、认证方式（Bearer、Basic、API Key、JWT）、IDOR（顺序 ID、UUID、跨用户令牌访问）、批量赋值（尝试 role、is_admin、permissions 等字段）、过度数据暴露。
- 授权测试：水平与垂直越权、函数级授权，用不同角色令牌访问 /api/admin/* 等端点。
- 速率限制与 DoS：快速请求、检查 X-RateLimit-* 头、通过 X-Forwarded-For、X-Real-IP、User-Agent、参数与大小写变化尝试绕过。
- 模糊测试：ffuf、arjun、wfuzz 进行参数与请求体模糊，Content-Type 混淆测试。
- 工具：Burp Suite、Postman、OWASP ZAP、RESTler、Kiterunner、Nuclei。
- 检查清单：认证、授权、输入验证、业务逻辑、配置五类。
使用限制与边界：仅应在合法授权范围内使用。源代码可用时改用代码审计技能；浏览器渲染应用用 Web 应用测试技能；令牌与签名构造用密码学审查技能；LLM/agent 工具 API 用 AI 系统安全技能；GraphQL 专项、gRPC、SSRF、反序列化、JWT、OAuth/OIDC、XXE 均有独立技能。资料未提供收费、价格、平台与效果信息。