接口安全性测试该从哪些方面入手？阿里8年经验测试手把手教学

Hi，大家好。我们在开展接口测试时也需要关注安全测试，例如敏感信息是否加密、必要参数是否进行校验。今天就给大家介绍接口安全性测试应该如何开展，文末可领资料。

走过路过不要错过。

请点击输入图片描述（最多18字）

​

一

接口防刷案例分析

1

案例

• 黄牛在12306网上抢票再倒卖并牟利。

• 恶意攻击竞争对手，如短信接口被请求一次，会触发几分钱的运营商费用。

• 进行压测时，用Apache Bench做压力测试。

2

什么行为判定为刷接口？

• 接口请求次数多；

• 接口请求概率频繁，可能1秒上千次；

• 用户身份难以识别，可能会在刷的过程中随时换浏览器或者ip；

3

如何判断用户粒度？

根据当前网页

• 缺点：没有任何意义，刷新页面后用户的身份就变了；

根据session

• 缺点：当用户手动清除 cookie 的时候即失效；

根据ip

• 优点：伪造成本高；

• 缺点：要考虑一个公司、一个小区的人一般会共享一个 ip，所以适当的要放宽对单一 ip 的请求限制；

二

如何处理恶意请求？