sublime text 不适合做 api 安全测试，因其缺乏 http 客户端、会话管理、请求拦截重放及响应安全分析等核心功能，仅可作为编辑辅助工具而非测试执行工具。
Sublime Text 本身不是安全测试工具，不能直接进行 API 安全测试或自动化检测认证绕过、业务逻辑漏洞。它是一款轻量级代码编辑器，缺乏 HTTP 请求引擎、自动化扫描能力、会话管理、响应分析等安全测试必需功能。
为什么 Sublime 不适合做 API 安全测试
它没有内置的 HTTP 客户端（不像 Postman、Burp Suite 或 curl）；不支持动态构造请求头、Token 替换、批量发包；无法拦截/改包/重放请求；也不能识别响应中的敏感信息泄露、越权返回、状态码异常等安全信号。
常见误解是：用 Sublime 编辑 Swagger JSON、OpenAPI 文件或测试用例文本，就等于“在做 API 测试”——这只是前期准备，不是执行测试。
真正能做 API 安全测试的替代方案
如果你当前在 Sublime 中写测试脚本或整理 API 文档，建议把工作流迁移到更合适的工具链：
- Burp Suite Professional：支持手动探查认证绕过（如修改 Cookie、删除 Authorization、篡改 user_id）、自动扫描业务逻辑缺陷（配合插件如 Turbo Intruder、Authz、Autorize）
- Postman + Newman + 自定义 JS 脚本：可编写 Pre-request Script 和 Tests 脚本模拟登录态复用、角色切换、参数 fuzzing，实现轻量级逻辑验证
- Python + requests + pytest：适合写定制化检测逻辑，比如遍历用户 ID 检查水平越权、对比不同角色响应差异、检查密码重置流程是否校验旧密码
- 专门的 API 安全平台：如 Wallarm、42Crunch、Noname Security，支持 OpenAPI 驱动的自动化授权测试和逻辑路径覆盖
如果坚持用 Sublime 辅助测试，可以这样配合
把它作为“安全测试的协作者”，而非执行者：
- 用 Sublime 高效编辑和比对多个 API 响应样本（开启 Compare Files 插件，快速发现字段差异）
- 借助 AlignTab 或 TrailingSpaces 插件清理测试数据格式，避免因空格/换行导致脚本解析失败
- 用 Anaconda（Python Lint）或 SublimeLinter 检查你写的 Python 测试脚本语法，提升可靠性
- 保存常用 Payload 模板（如 JWT 修改、role=admin 注入、id=1→id=2 的越权测试集），用 Snippets 快速调用
基本上就这些。想真正发现认证绕过或业务逻辑漏洞，核心靠的是测试思路+上下文理解+可编程的交互能力，而不是编辑器有多快或多好看。
