1 · 认证

程序调用用 API Key（推荐），浏览器调用用登录 cookie。Key 认证的请求不需要 CSRF 头。

2 · 发起一次测试

3 · 实时进度（SSE 事件流）

事件名 progress / task / ping / end；断线重连带 Last-Event-ID 即可续传。浏览器里用 EventSource（走 cookie），程序里用下面这条。

4 · 接口一览

下表由服务器上的 /api/openapi.json 直接渲染——接口改了这张表就跟着变，不会出现文档和实现对不上。

接口清单读取失败，请直接看上面那个链接。

5 · 完整接口说明

机器可读的完整契约（路径、参数、事件、计费语义），无需登录：/api/openapi.json

1 · 发起一次测试

打开首页，只需要填两样：

① 要测试哪个网站——填域名即可（例如 example.com）， 平台会自动补上 https://。只支持公网域名，不支持 IP 与内网主机名。
② 谁授权你测这个网站——填 SRC 项目名 / 授权书编号 / 客户名， 它会随测试指令一起留档，用于证明测试是授权的。

可选填 Cookie：你自己登录目标网站后的会话（整行粘贴即可）， 用来访问需要登录才能看到的页面。它只用于发请求，不会写进报告。
点「开始测试」后先过一道输入审核（一两分钟）：平台派一位独立代理确认 提交的这三样是「要测的目标」而不是「指挥 agent 的指令」。通过就自动往下跑， 不通过会当场结束并说明原因（改好目标或授权依据再提交一次即可）。

审核通过后就不用管了：平台自动完成信息收集、漏洞验证、定级与报告。

2 · 测试过程中看什么

任务页上方是状态与用时；中间的「过程」按轮次记录 agent 实际做的 每一步（读日志、发请求、验证……），点每轮的标题可以展开看细节； 右侧是遥测（tokens、积分、进度）与产出文件。

想提前收工：点「停止测试」。对话框会给你两档—— 停止并出报告（默认）：平台停下这轮测试后接着走报告阶段（定级 → 逐条 交付文件），这一段照常计费，而且常常比测试本身更贵； 停下，不出报告：测试到此为止、报告阶段整个跳过，最省，但这次没有交付文件。 两档都不退已经消耗的积分，也都留着证据与笔记。

报告阶段正在跑的时候点停止，丢掉的就是正在写的报告（对话框会说明）。 任务彻底停下之后，点「继续测试」可以接着上次的进度再来一轮—— 那时会重新进入报告阶段，缺交付文件的话这就是补回来的路。

3 · 读懂报告

测试完成后点「查看报告」：左侧是报告正文，右侧是产出文件清单。 要提交的是标着「交付文件」的条目——每条漏洞一份 .md（可编辑） 加一份 .pdf（提交用），另有总报告与定级清单。 报告里的每个结论都标注了证据位置与复现步骤；标着「未验证」的说明证据强度， 便于你在提交时表述。

4 · 积分怎么算

平台只用 积分 一个单位，按 用量 计量： 积分 = token ÷ 1000 × 该模型费率。费率按线路配置（换线路就换费率）， 当前生效的数值就在侧栏「购买积分」那张表里——那张表就是照它算出来的。

价目表：1000 积分 = 1.5 元。额度、已用、剩余、每次测试的消耗，全都是积分； 个人中心里还会把"已用"按这张价目表折成大约多少元，方便对照。

每次测试按实际用量计量，结束那一刻记入变更记录；任务页、首页与个人中心的 数字都出自同一本账，随时可查。兑换码充值也是积分：领到多少积分，额度就加多少。 每场测试另有平台成本上限（默认 5 元，算的是平台真实付出去的钱），到顶 自动停下并写明原因——它不是你的积分配额，充值也改变不了它（每一场重新计一次）。

页面上仍会看到 tokens：那是模型用量（这次测试读写了多少 token）， 属于技术读数，与"花了多少积分"是两件事——就像手机的流量与话费。

5 · 常见问题

为什么不能填 IP？平台只支持公网域名；填了 IP 或内网主机名会被直接拒绝。
为什么有的漏洞标着 inf？那条发现没达到提交门（没有实质影响或无法利用）， 不计入战果，但仍在报告里留档说明原因。
测试结束后还能继续吗？沙箱还在时可以「继续测试」（同一任务接着跑）； 沙箱已回收时会引导你按原条件重新发起。
API Key 是什么？给脚本与集成用的凭证，在个人中心自己生成、自己命名； Key 的用量记在你的账号上，余额就是账号的额度。

更完整的接口说明在「接口」页；每条任务的原始事件都在时间线里，随时可审计。