用途：在 API 上线前或定期设计评审中，指导设计和审查 API 安全，尤其适合对外、面向合作伙伴或处理敏感数据的 API。
主要能力：按 OWASP API Top 10 映射控制措施。API1 BOLA 与 API5 BFLA 由后端做逐对象、逐功能授权；API2 用 Entra ID 的 OAuth 2.0/OIDC 与 APIM 的 validate-jwt 策略；API3 用模式校验与响应过滤；API4 用限流、配额、载荷大小与超时；API7 用出站 URL 白名单与出口控制；API8 用 IaC 与 APIM 策略模板；API9 用 APIM 目录与生命周期治理；API10 校验上游响应与超时。
使用方式：网关用 Entra ID 校验 JWT（issuer、audience、签名密钥、过期、必需声明）；后端做最小权限的逐对象和逐功能授权；APIM 配置限流配额、IP 过滤、请求响应模式校验、载荷上限、超时与受控 CORS；全链路 TLS 1.2+，需要时用 mTLS，密钥存 Key Vault 并经 APIM 命名值与托管标识引用；公网 API 前置 WAF（Application Gateway 或 Azure Front Door）与 OWASP 核心规则集，后端用 Private Endpoints 隐藏；按 OpenAPI 模式严格校验并拒绝意外字段与超大载荷；启用 Defender for APIs 做运行时威胁检测；在 APIM 中编目并打敏感度与归属标签，按计划下线旧版本。
限制：不适用于通用应用或 Web 安全（用 security-architecture、threat-modelling）、仅做 API 运行时检测与态势（用 defender-for-apis）、前端/SPA 设计。BOLA 与 BFLA 无法仅靠网关完全修复，后端必须再校验；不要只用静态 API 密钥，若为兼容保留需高强度轮换与限流；避免密钥写入策略 XML 或仓库、后端仍公开暴露、缺少 API 目录等反模式。