Web 与 API 安全
在网络层之外，Vulny 还会测试您的 Web 应用和 API，查找会导致真实入侵的问题。
Vulny 的 Web 应用扫描器测试哪些内容？
Vulny 的 Web 应用扫描器会测试您的站点，查找最常演变为真实入侵的弱点。它安全地探测所发现的每一个 Web 服务，检查 OWASP Top 10 类问题——注入、跨站脚本（XSS）、访问控制失效和安全配置错误——同时检查暴露的敏感文件（如备份、.git 目录和环境文件）、缺失或薄弱的安全标头、永远不应公开的默认页面，以及弱 TLS 配置。检测模板持续更新，因此扫描器会不断检查新披露的 Web 弱点，而不是停留在发布之日的固定清单。每个问题返回时都附带其严重性、受影响的 URL 以及通俗易懂的修复方法，因此您的开发者无需专业安全知识即可复现并修复。扫描是非破坏性的——Vulny 在不利用弱点、不更改您数据的情况下确认其存在。
什么是 Shadow-API 发现，为何重要？
影子 API 是存在但未在您文档中记录的端点——旧的 API 版本、被遗忘的管理路由，或某个团队未告知任何人就上线的服务。正因为无人监控，它们成为偏爱的攻击目标。Vulny 爬取您的应用，绘制出已记录和未记录的 API 端点，然后安全地对每一个进行模糊测试，查找认证与授权缺陷以及注入漏洞，包括 SSRF、LFI、SSTI 和路径遍历。最终得到一张真实 API 表面的地图——包括那些被您遗忘的部分——以及每个端点的弱点究竟在何处。由于现代入侵越来越多通过 API 而非前端发生，掌握真实的 API 清单已是成功的一半：您无法保护一个自己都不知道存在的端点。发现项按真实世界风险排序，让最危险的暴露浮现在最前。
运行 Web 与 API 扫描安全吗？
安全——Vulny 的 Web 与 API 扫描在设计上即为非破坏性。它在不利用弱点、不删除数据、不使您的服务下线的前提下识别并确认弱点，并且扫描具备速率感知，不会使您的服务器过载。这使得它可以持续针对生产环境运行，而不仅限于维护窗口之内。您只能扫描自己拥有或获明确授权测试的资产；发起扫描即表示您确认拥有该授权，并且 Vulny 会在对任何新目标首次扫描前验证域名所有权。这让扫描器在法律和运营上都保持安全：您获得与攻击者会尝试的同等深度的测试，却没有真实攻击——或粗心的扫描器——会带来的任何可用性或数据完整性风险。