Брал разные API на пентест, и понял, что быстро проблемы можно выцепить, не углубляясь в код и мануалы. Сначала кладу все в Postman, проверяю авторизацию, токены, обходим их как можно, тестирую разные инъекции и enum-атаки. Если там всё чисто - запускаю Burp Suite, прокидываю трафик, ловлю реджекты, странные редиректы и неприкрытые методы.

Пробовал автоматизировать через OWASP ZAP - сойдет для базовой проверки, но глубже копать не умеет без тонкой настройки. В итоге лучший подход - сначала руками, через Postman и Burp, на базовые и очевидные вещи, а потом уже автотестами углубляться. Вся эта автоматизация и скрипты реально помогают, но только если уделить время настройке и разбору выводов, иначе конспект скинет кучу мусора.

По уязвимостям главное смотреть на роли, разграничение прав и смену сессий. Автоматизация не всегда это поймает, тут глаз каменного специалиста нужен, чтобы запросы грамотно мутировать. Кто как обычно подцепляет баги в API? Может, есть какие-то лайфхаки проще, чем весь этот движ?