用途：在漏洞赏金和渗透测试中系统测试 REST、SOAP、GraphQL API，发现认证绕过、IDOR、注入、未授权访问等问题。
主要能力：API 侦察与端点枚举（Swagger/OpenAPI 文档、Kiterunner 扫描、json2paths 提取路径）；认证测试（多登录路径、限流检查、移动端与 Web API 分开测试）；IDOR 测试及绕过（数组包裹、JSON 嵌套、重复参数、通配符、参数污染）；注入测试（JSON 中的 SQL 注入、命令注入、XXE、SSRF、.NET Path.Combine 路径穿越）；HTTP 方法测试与 Content-Type 切换；GraphQL 专项（内省查询、IDOR、SQL/NoSQL 注入、批处理绕过限流、嵌套查询 DoS、XSS）；403/401 端点绕过；PDF 导出与 limit 参数滥用；常见漏洞检查清单与快速参考表。
使用方式：需准备 Burp Suite 等代理、SecLists 等 API 字典、Python 脚本能力，并了解目标 API 端点与文档。示例命令包括 kr scan https://target.com -w routes-large.kite、python3 json2paths.py swagger.json，以及 curl 内省查询。
适用场景：漏洞赏金、渗透测试中的 API 安全评估。
限制：资料未提供具体收费、平台支持范围或效果保证；部分技术需授权测试环境，工具链接与用法以原始资料为准。