我们以往的变更安全测试，主要用接口覆盖率来控制测试范围。每轮迭代，接口表会列出 diff 涉及的接口；每个接口都要留下安全测试记录，确保没有遗漏。

测试执行也没有“拿到接口路径、直接拼出 cURL”这么简单。我们的很多云上服务采用多服务架构，一次接口调用可能依赖上游入口、前置数据和特定业务状态。安全同学只看下游接口，往往难以还原有效请求，也不知道应该从哪个页面或入口触发。因此，研