技能介绍

解决什么问题

在 API 安全测试里，最先遇到的困难往往不是"某个漏洞怎么挖"，而是"该从哪儿下手"。一个目标可能同时暴露 REST 接口、移动端后端和 GraphQL 端点，涉及接口文档、对象级授权、JWT 令牌信任和隐藏字段，问题彼此交叉，测试顺序很容易被打乱。本技能是一个路由入口：它先对问题做初步分类，判断当前议题主要落在 recon/docs、对象授权、令牌信任还是 GraphQL/隐藏参数这四类中的哪一类，再把流程引向对应的深度主题技能，避免在无关方向上浪费时间。

核心能力与工作流程

技能按四个轨道组织：

API 侦察与文档（api-recon-and-docs）：OpenAPI、Swagger、版本漂移、隐藏文档
授权与 BOLA（api-authorization-and-bola）：BOLA、BFLA、方法滥用、隐藏可写字段
认证与 JWT 滥用（api-auth-and-jwt-abuse）：bearer token、头部信任、claim 滥用、限速绕过
GraphQL 与隐藏参数（graphql-and-hidden-parameters）：内省、批处理、未文档化字段、隐藏参数

分流规则很直接：流量里能看到 Swagger 或 OpenAPI 文档，先走侦察轨道；ID 出现在 URL、JSON、请求头或 GraphQL 参数里，优先排查对象级授权；JWT 在流量中可见，转向令牌信任；出现 /graphql 或 JSON 数组批量请求，检查隐藏字段和 schema 滥用。注册、登录或资料更新接口接受多余字段时，先走授权轨道再检查令牌问题。

推荐的测试顺序是：先梳理暴露的端点和文档资产，再评估对象级与功能级授权，然后检查令牌、请求头、签名和限速边界，最后针对 GraphQL 或复杂 JSON 检查隐藏字段与 schema 滥用。

适用边界与注意点

这个技能只负责分流和排序，本身不提供漏洞利用细节，深度检查需要配合对应的主题技能完成。路由判断基于流量中可见的线索，如果流量被加密且无法解密，标识性的观察点（如 JWT、/graphql 路径）可能无法捕获，此时需要额外的流量分析手段。它也不覆盖业务逻辑漏洞和配置错误的完整排查，只作为测试入口使用。