用途：在漏洞赏金与渗透测试中系统测试 REST、SOAP、GraphQL API，发现漏洞、认证绕过、IDOR 利用及 API 特有攻击面。
主要能力：API 侦察与文档发现（/swagger.json、/openapi.json、/api-docs、/v1/api-docs、/swagger-ui.html）；使用 Kiterunner 做端点发现（kr scan https://target.com -w routes-large.kite）；认证测试（/api/mobile/login、/api/v3/login、/api/magic_link、/api/admin/login，并分别测移动端、Web 端与开发者 API 的限速）；IDOR 测试与绕过（改 user_id、数组包裹、JSON 包裹、重复参数、通配符、参数污染）；注入测试（JSON 中的 SQL 注入、命令注入、XXE、SSRF）；HTTP 方法测试与 Content-Type 切换；GraphQL 内省查询、IDOR、SQL/NoSQL 注入、批处理绕过限速、嵌套查询 DoS，配套 GraphCrawler、graphw00f、clairvoyance、InQL、GraphQLmap；端点绕过（追加 .json、?、/、??、%20、%09、#、&details、/..;/ 等）；输出利用（PDF 导出 LFI/SSRF、端口扫描、IP 泄露）与超限 DoS 测试。
工具参考：Fuzzapi、Kiterunner、InQL、SecLists、Swagger-EZ、MindAPI。
限制：须分别测试移动、Web、开发者 API，覆盖 /v1、/v2、/v3 各版本及认证与未认证访问；不得假设各版本安全控制一致，不得跳过未公开端点与限速检查；可加 X-Requested-With: XMLHttpRequest 头，查 archive.org 历史端点，测试敏感操作竞态。具体收费、价格、效果暂未提供。