Token on SoulJian小站

API安全测试入门

Sat, 29 Aug 2026 14:00:00 +0800

API 安全测试只在授权测试环境进行。

1

认证 · 授权 · 输入验证 · 数据暴露 · 业务逻辑

1
2
3
4


认证：Token 缺失/过期/篡改 → 401
授权：用户 A 调用用户 B 的 API
输入验证：参数类型/长度/格式 + SQL 注入
数据暴露：响应不应包含敏感字段

1
2


JWT 签名验证 · 最小权限 · 参数白名单
响应脱敏 · 限流 + 审计日志

API 安全测试的五大核心：认证 → 授权 → 输入 → 数据 → 业务。使用 Burp Suite + Postman + OWASP ZAP 组合工具链，覆盖 OWASP API Security Top 10。

Sat, 29 Aug 2026 14:00:00 +0800

JWT 安全测试只在授权测试环境进行。

1

① 伪造签名 ② 算法降级 ③ 密钥泄露 ④ 篡改 Claim ⑤ 无签名 ⑥ 过期

1
2
3
4


算法降级：RS256 → HS256（公开公钥当密钥）
密钥暴力：短密钥（<16位）可暴力破解
篡改 Claim：修改 payload 中 role/exp
无签名：alg=none → 服务器不验证

1
2
3
4


强制算法：服务端硬编码允许算法（RS256）
强密钥：≥ 256 bit · 使用非对称密钥
过期时间：access_token 15min + refresh_token 刷新
安全存储：HTTPS · HttpOnly Cookie · 不存 localStorage

JWT 安全核心是强制服务端指定算法 + 使用强密钥。拒绝 alg=none，密钥长度至少 256 bit。

Sat, 29 Aug 2026 14:00:00 +0800

OAuth2 安全测试只在授权环境进行。

1

① 用户访问 → ② 跳转授权服务器 → ③ 用户授权 → ④ 回调授权码 → ⑤ 换取 Token

1

PKCE · State 参数 · HTTPS · Token 过期

OAuth2 授权码模式是最安全的认证方式。PKCE + State + HTTPS 是安全最佳实践。

Sat, 29 Aug 2026 14:00:00 +0800

OAuth2 安全测试只在授权环境进行。

1

① 用户访问 → ② 跳转授权服务器 → ③ 用户授权 → ④ 回调授权码 → ⑤ 换取 Token

1
2
3


Authorization Code：授权码 → 换取 Access Token
Access Token：访问资源
Refresh Token：刷新 Access Token

1
2
3


PKCE：移动端防止授权码拦截
State 参数：防止 CSRF
HTTPS：Token 传输加密

OAuth2 授权码模式是 Web 应用最安全的认证方式。PKCE + State 参数 + HTTPS 是安全最佳实践。