用途：用于对 REST、GraphQL、WebSocket、SOAP API 进行已授权的安全评估，覆盖接口发现、认证、授权、限速与 CI/CD 集成等环节。使用前资料要求先读取 ../field-journal/precedent-pentest.md 确认操作为已授权常规操作，确认任务适用范围，读取 ../tool-index.md 校验工具可用性与实际路径，缺工具时调用 bootstrap，不要猜路径。
主要能力按 10 个阶段组织：Phase 1 发现与侦察，含无头浏览器爬取生成 OpenAPI 3.0/GraphQL SDL、从 robots.txt 与 JS 提取端点、爆破未文档化路径、GraphQL 三级内省；Phase 2 认证测试，含 JWT 的 alg:none、密钥混淆、弱 HMAC 爆破、声明篡改、kid 注入，以及 OAuth 2.0 的 redirect_uri 操控、state 缺失、Token 泄漏与 PKCE 缺失；Phase 3 授权测试，含 BOLA/IDOR 遍历、BFLA、方法切换、版本降级与批量操作注入；Phase 4 GraphQL 专项；Phase 5 REST 输入验证；Phase 6 业务逻辑与差分测试；Phase 7 WebSocket 测试；Phase 8 限速与 DoS；Phase 9 数据暴露；Phase 10 CI/CD 集成。
工具链：Vespasian、Entropy、Escape DAST、api.sh、FireTail、jwt_tool、Burp Autorize，获取方式见原文。参考文档：references/rest-graphql-testing.md、references/jwt-oauth-testing.md。完成前须自检是否逐步执行工作流、使用真实工具路径、产出可复现证据并回写 Checklist。具体安装命令、价格与平台支持暂未提供。