🔌 API安全测试概述

📌 一句话概括

API安全测试是当今Web安全的核心——因为前后端分离、微服务架构和移动端普及，API已成为攻击者的首选入口，远超过传统的Web页面攻击面。

💡 API安全测试全景

① 三类测试维度

• 认证与授权：Token有效性、作用域校验、OAuth流程安全
• 输入校验：参数注入、JSON Schema验证、批量赋值
• 业务逻辑：速率限制、IDOR、竞态条件

② OWASP API Security Top 10

🔍 测试实战

1. API资产发现

操作：抓取移动端/Web端流量，整理完整的API清单

工具：Burp Suite、Charles Proxy、mitmproxy

2. API安全扫描

操作：使用自动化工具扫描API端点的安全漏洞

工具：Kiterunner、JNDI、API安全资源

⚠️ 常见坑点

1. 只测Web不测移动端API——移动端API可能使用不同的认证机制
2. 忽略GraphQL——GraphQL单端点和查询组合带来独特的安全挑战
3. 未测试API版本管理——/v1/和/v2/存在安全策略差异

📖 延伸阅读

• OWASP API Security Top 10
• PortSwigger API安全教程