API 渗透测试的重点，不是尽可能多地列出接口，而是核对“接口定义、线上路径、参数约束和权限行为”是否一致。只有在授权范围内，将 OpenAPI 文档、实际流量和多版本入口放在同一份接口资产清单中比较，才能区分文档过期、隐藏接口、旧版本暴露与真实未授权访问。 一、先确定授权范围与停止条件 开始测试前，应形成一份可执行的测试授权记录，至...