用途：这是 API 安全测试的路由入口点。先使用本技能判断 API 问题主要属于侦察与文档、对象授权、令牌信任，还是 GraphQL/隐藏参数，再路由到更深的专题技能。
主要能力与技能地图：API 侦察与文档（OpenAPI、Swagger、版本漂移、隐藏文档）；API 授权与 BOLA（BOLA、BFLA、方法滥用、隐藏可写字段）；API 认证与 JWT 滥用（bearer token、header 信任、claim 滥用、限速绕过）；GraphQL 与隐藏参数（introspection、批处理、未记录字段、隐藏参数）。
适用场景：目标暴露 REST API、移动后端或 GraphQL 端点；需要在进入具体议题前确定 API 测试顺序；希望把对象授权、JWT、GraphQL 和隐藏字段作为独立轨道处理。
快速分流：存在 Swagger 或 OpenAPI 时路由到 api-recon-and-docs；URL、JSON、header 或 GraphQL 参数中出现 ID 时路由到 api-authorization-and-bola；流量中可见 JWT 令牌时路由到 api-auth-and-jwt-abuse；出现 /graphql 或批处理 JSON 数组时路由到 graphql-and-hidden-parameters；注册、登录或资料更新接受额外字段时，先走 api-authorization-and-bola 再走 api-auth-and-jwt-abuse。
推荐流程：从暴露的端点和文档资产开始；再评估对象级和功能级授权；然后评估令牌、header、签名和限速边界；若存在 GraphQL 或复杂 JSON，继续处理隐藏字段与 schema 滥用。
相关分类：auth-sec、business-logic-vuln、recon-for-sec。
限制：资料仅提供路由与分流说明，未提供具体命令、工具安装方式、代码示例或收费标准，这些内容暂未提供。