用途：在代码库中系统性查找业务逻辑漏洞，即应用自身功能被以开发者未预期的方式滥用、绕过业务规则而产生的缺陷，而非注入或内存破坏等技术漏洞。
主要能力：围绕价格与支付篡改、数量与数值越界、多步流程绕过、优惠券与折扣滥用、竞态与并发、退款滥用、奖励与推荐滥用、订阅与权益绕过、拍卖与出价逻辑、库存逻辑、时间日期逻辑、转账与余额逻辑等类别，生成并核验具体攻击场景。
使用方式：三阶段子代理流程。一、威胁建模：阅读 sast/architecture.md 并探索代码，识别业务域、交易与促销功能、量化限制、多步流程、角色层级、库存约束，产出 sast/businesslogic-threats.md，场景用 ### 1.、### 2. 顺序编号。二、分批验证：由主流程读取威胁文件，每批最多3个场景，并行启动子代理，每个子代理只核验分配场景并写入 sast/businesslogic-batch-N.md，逐一判断业务规则是否在服务端执行、是否覆盖边界与并发、是否在使用点重新校验。三、合并各批结果。分类为可利用、可能可利用、不可利用、需人工复核。
输出包含类别、文件与行号、端点、被违反的业务规则、问题、影响、证据、修复建议与动态测试步骤。
限制：前提是 sast/architecture.md 已存在；不处理 SQL 注入、XSS、RCE、XXE、SSRF、SSTI、缺失认证、IDOR 及一般性速率限制绕过；价格、平台与具体命令等资料未提供。