7.接口安全、接口文档和用例设计

于 2022-11-29 16:58:04 发布
阅读量736 收藏 2
点赞数
分类专栏： python测试开发笔记 文章标签： 安全 服务器 网络
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/qq_36227329/article/details/128101336
版权

接口安全、接口文档和用例设计

接口安全

数据加密

为了安全

  1. 对称加密

    概念：加密和解密使用同一个密钥的加密算法

    优点：加解密的速度快

    缺点：安全性相对较低

    常用算法：AES，DES

    1. 非对称加密

      概念：加密和解密使用不同密钥的加密算法。双方要进行数据交换，先交换公钥，使用的一方用对方的公钥加密，另一方使用私钥解密。公钥是可以公开的，但是私钥必须自己保留。

      优点：安全性相对较高

      缺点：加解密速度比对称加密慢很多

      常用算法：RSA，DSA

    3.哈希加密

概念：一种单项算法，根据目标信息生成一串固定长度的唯一哈希值，但是通过这个哈希值是无法反推出目 标信息

使用场景：1. 不可还原的密码存储 2. 数据完整性校验

常用算法：MD5，SHA

 4. 对称加密和非对称加密的对比
      1. 对称加密只有一个密钥，非对称加密有两个密钥，一个公钥用作加密，一个私钥用作解密
      2. 对称加密加解密速度快，非对称加密速度相对较慢
      3. 对称加密安全性较低，非对称加密安全性相对较高
用户认证

  1. 基本认证（Basic Auth）：用户发送请求时同时发送账号和密码，这是最基本的认证方式

  2. 摘要认证（Digest Auth）：密码不使用明文传输，而是使用摘要算法进行加密，通常使用MD5加密算法。服务器接收到加密密码之后，通过相同算法计算出摘要值进行比对认证

  3. OAuth：用户允许第三方应用程序访问用户在某一网站的私密信息（头像，地址，图片，视频），而不用将账号和密码发送给第三方

    OAuth过程：四个角色：用户，客户端（第三方程序），认证服务器，资源服务器

    1. 用户使用客户端，客户端要求授权
    2. 用户同意授权
    3. 客户端通过上一步的授权，向认证服务器申请令牌（access_token）
    4. 认证服务器在确认过客户端身份之后，同意发放令牌
    5. 客户端使用令牌，向资源服务器申请获取资源
    6. 资源服务器确认令牌有效，同意向客户端开放资源
数字签名

服务器给客户端一个字符串，以后每次客户端的请求都需要携带这个字符串（http://www.baidu.com/s?kw=2&232=23&sign=签名字符串）.服务器每次接收到客户端的请求，都会去验证这个签名字符串，如果说签名字符串不存在或者错误，那么就不处理这个请求。数字签名起到一个鉴权的作用，保证请求来自合法客户端。

接口文档和用例设计

为什么说接口测试比UI测试重要？
  1. 可以更早发现问题：后端开发完成提测之后，接口测试就可以开始；但UI测试需要等到前后端对接完成才能开始测试
  2. 能发现更加底层的问题：可以构造不同的测试数据和测试条件进行测试，覆盖面更广
  3. 稳定性更高：接口在开发完成后不会轻易改变，方便接口自动化工作的开展；UI测试稳定相对较差，因为面临着前端页面频繁的改动
接口文档
  1. 接口描述：说明接口的功能
  2. 请求的URL
  3. 请求的方式
  4. 请求参数（查询参数，请求正文）
    1. 名称
    2. 类型
    3. 是否必填
    4. 描述
  5. 请求头
    1. 名称
    2. 类型
    3. 是否必填
    4. 描述
  6. 返回值
    1. 数据结构：字符串，HTML，JSON
    2. 示例数据
    3. 错误码：错误描述信息
  7. 其他
接口文档来源

通常是由产品和后端开发人员提供

测试的重点
  1. 测试接口的功能
  2. 测试接口的容错性和健壮性
  3. 测试接口的安全
  4. 测试接口的性能
接口用例设计
  1. 编号
  2. 标题
  3. 请求方式
  4. 请求URL
  5. 请求参数
  6. 响应码
  7. 响应正文
接口测试工具
  1. 接口测试工具：模拟发送HTTP请求，获取响应结果，人工去验证结果
    1. fiddler：创作者标签
    2. postman
  2. 接口自动化测试工具：可以批量执行，对结果进行断言，生成测试结果报告
    1. requests + unittest
    2. JMeter
  3. 接口性能测试工具：测试高并发场景下接口的性能
    1. JMeter
    2. loadrunner
一般的测试方法
  1. 输入参数测试
    1. 输入参数合法
    2. 输入参数不合法
    3. 输入参数为空
    4. 输入参数超长
  2. 返回值测试：不同参数条件下接口的返回值是否与文档描述一致
  3. 关注重点
    1. 协议：HTTP，Socket，TCP
    2. 请求方式：GET/POST/PUT/DELETE
    3. 数据格式：XML/JSON/form-data
  4. 实现方法：
    1. 工具
    2. 代码
qq_36227329
关注
  • 0
    点赞
  • 踩
  • 2
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
第20章 接口手册【C++】
高万禄的博客
08-10 765
A B C D E F G H I L M O P Q R S T U V W 算法接口 在泛型编程中我们接触到了标准库中的算法，指示了解了算法的特性，并没有对其接口深入了解，下面是常见算法的使用方式及其接口1、beg和end表示元素范围的迭代器，算法对一个由beg和end表示的序列进行操作 2、beg2，end2是表示第二个输入序列开始和末尾位置的迭代器如果没有end2则表示第二个序列和第一个序列长度相同。beg和beg2的类型可以不匹配，但需要保证对两个序列中的元素都可以执行特定操作或调用给定的可调用
算法API接口文档规范
小花生的博客
04-18 2562
算法API接口文档规范 参考：百度AI开放平台：https://ai.baidu.com/ai-doc/FACE/yk37c1u4t 接口功能介绍 1.人脸比对：比对两张图片中人脸的相似度，并返回相似度分值； 1.人脸比对 接口描述 （1）调用方式 HTTP方法： POST 请求URL: https://aip.baidubce.com/rest/2.0/face/v3/match 请求参数： 请求示例： （2）返回说明 返回参数: 返回示例： （3）错误码 若请求错误，服务器将返回的JS
API接口设计
hudeyong926的专栏
02-18 815
站等。如：不同的终端每页显示的记录数不同 采用通用的解决方案，比如通信协议就采用最常用的HTTP/RPC协议，如果是即时通信，可以采用开放的XMPP协议，做游戏的可以采用可靠的TCP协议，除非TCP不够用了，再采用定制的UDP协议。数据交换采用xml或者json格式或者webservice等等。总之，要达到的目标就是让不同的端能够很方便的使用你的接口。 function ajaxJson($data, $jsonCallBack = '', $fromCode = "UTF-8")
接口文档示例
浮世与人心的博客
07-27 1268
文档测试 一 资产主体录入 1.0.1.1场景说明 添加新的资产主体 1.0.1.2接口说明 接口地址 请求方式 localhost:7001/parent/parent post 1.0.1.3请求参数 参数名 类型 是否必填 最大长度 描述 示例值 id int 否 无限制 用户的唯一标识 1 name string 是 无限制 资产主体的名字。不能...
接口安全测试
xiaobai178的博客
02-23 754
“开源 Web 应用安全项目”(OWASP)在 2019 年发布了API 十大安全风险 《OWASP API 安全 Top10》：失效的对象级别授权、失效的用户身份验证、过 度的数据暴露、资源缺乏和速率限制、失效的功能级授权、批量分配、安全配置 错误、注入、资产管理不当、日志和监视不足位列其中。 1. 失效的对象级别授权 失效的对象级别授权是指：用户与服务器使用API进行通信时，服务器端未进行对象级别的权限控制或限制不严格。攻击者可以通过修改请求数据中的对象ID 等信息，实现未授权获取或修改敏感信息。 eg
接口用例参考文档.xmind
04-15
接口用例参考文档.xmind
项目接口需求及设计说明文档模板样本.doc
最新发布
12-17
本文档旨在提供一个项目接口需求及设计说明文档模板样本，供项目经理、开发人员和测试人员使用。该文档模板涵盖了项目接口需求的定义、设计说明、数据流程图、接口定义、测试计划等方面的内容，为项目实施提供了一个...
接口用例模板.xlsx
04-30
接口测试用例模板，编写接口用例时，如果需要使用Excel维护用例的话，可以参考这个模板。模板中包括跟接口相关的信息 。
项目接口需求及设计说明文档(模板).doc
11-29
《项目接口需求及设计说明文档》是IT项目中不可...综上所述，《项目接口需求及设计说明文档》是项目开发的关键文档，它定义了系统间通信的规则和标准，确保项目能够按照预期运行，并为后期的维护和升级提供清晰的指南。
接口测试用例.xlsx
05-11
接口自动化测试用例模板，内容中包含ID、method、api地址、传参、期望响应结果、实际响应结果、断言结果等内容，其中method、api地址、参数、期望响应结果根据项目实际情况进行调整；实际响应结果和断言结果可以通过...
中文分词算法接口文档
04-15
中科院中文分词算法的接口介绍，包括C++，java，C#等语言
APP接口的安全设计
10-23
使用非对性算法和对称性算法实现了接口数据的传输安全。
API接口安全策略文档
06-29
 1.目标 防伪装攻击：第三方恶意调用接口。 防篡改攻击：请求在传输过程被修改。 防重放攻击：请求被截获后，被多次重放。 防数据信息泄漏：被截获到系统数据，例如账号、密码、交易信息等。 
接口签名及防重放详细开发文档(接口安全)
AdleyTales的技术博客
06-27 1万+
接口签名及防重放详细开发文档 公共参数 参数名称 是否必填 参数描述 nonce 是 唯一值,用来标识接口请求的唯一性,例如使用UUID值,示例:40A6A065-4DB7-4999-8F7F-F6D051D9B02C timestamp 是 时间戳,从1970年1月1日据当前时间的毫秒数 示例:1529373808 vId ...
七、api接口安全设计
余衫马的博客
06-28 2606
参考 API安全接口安全设计 参考 系列学习互联网安全架构第 3 篇 —— 自定义注解，防止表单重复提交 参考安全|API接口安全性设计（防篡改和重复调用） 参考API接口安全设计 为什么要设计安全的api接口 运行在外网服务器的接口暴露在整个互联网中，可能会受到各种攻击，例如恶意爬取服务器数据、恶意篡改请求数据等，因此需要一个机制去保证api接口是相对安全的。 本项目api接口安全设计 本项目api接口的安全性主要是为了请求参数不会被篡改和防止接口被多次调用而产生脏数据，实现方案主要围绕..
接口文档要如何写
热门推荐
Xinghf
04-21 6万+
一个简单的接口文档，写完给组长看后，发现漏洞百出。下面总结一下写文档需要注意事项： 封皮 封面最好是本公司规定的封面，有logo，内容标题，版本号，公司名称，文档产生日期。（错误地方在于，文档的标题要和页眉中的标题一致） 修订历史 表格形式较好些。包括，版本，修订说明，修订日期，修订人，审核时间审核人。（我错误的地方在于，表格中其他空白表格没有居中） 接口信息 接口调用方式，是post
使用百度的图像识别算法接口
xcagy-国际性的文档记录中心
09-20 1530
using System; using System.Collections.Generic; using System.ComponentModel; using System.Data; using System.Drawing; using System.IO; using System.Linq; using System.Net; using System.Text; using Sy...
接口文档
小秀的博客
05-08 4万+
 1 接入方式说明1.1      调用入口测试环境：http://18test-app.stg3.1768.com/ItemSubaccount1.2     消息结构1.3          接口请求结构如下:{       "head"：{             //报文头           "apiVersion": "",  //报文版本号           "reqAppId":...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值