API安全测试方法论

API安全概述

Application Programma Interface (API)由一组定义和协议组合而成，可用于构建和企业集成应用软件。随着数字化转型的深入，API产品的价值日益增高，特别是与微服务、DevOps等技术的融合，使得API成为企业战略发展加速的利器，但随之而来的安全问题也不容忽视。常见的API安全漏洞有以下五种：

1. 首先是API应该与应用系统一样在设计之初就考虑安全的因素，比如防篡改（签名）、防重放（时间戳）、防止敏感信息泄露（传输加密与数据最小化）等。
2. API规范性带来的一个问题就是API很容易被发现，比如在URL中出现的v1/login，参数中出现的"function": "login"等。
3. 安全配置错误常常包括：未使用加密传输协议、CSRF、CORS等。
4. 参数过多就会导致信息泄露以及便于攻击者执行频率分析攻击，比如"role": "user"容易让攻击者联想到"role": "admin"等。
5. 数据过多：传输过多的数据、返回过多的数据、参数值暴露敏感信息等都是数据过多导致的安全问题。
   同时OWASP在2019年也列举了API最受关注的十大安全问题：