API安全测试入门

写在前面：合法学习边界

API 安全测试只在授权测试环境进行。

1
认证 · 授权 · 输入验证 · 数据暴露 · 业务逻辑

1
2
3
4
认证：Token 缺失/过期/篡改 → 401
授权：用户 A 调用用户 B 的 API
输入验证：参数类型/长度/格式 + SQL 注入
数据暴露：响应不应包含敏感字段

1
2
JWT 签名验证 · 最小权限 · 参数白名单
响应脱敏 · 限流 + 审计日志

API 安全测试的五大核心：认证 → 授权 → 输入 → 数据 → 业务。使用 Burp Suite + Postman + OWASP ZAP 组合工具链，覆盖 OWASP API Security Top 10。