فتح المجلد
حدد دليل المشروع الخاص بك.
سير العمل
تقييم أمان API باستخدام Orso Connect
03
فحص API الخاص ببيئة الاختبار
افتح مجلد مشروعك في Orso Connect واطلب من الوكيل مراجعة تدفق تسجيل الدخول، مثلاً ما إذا كان MFA مطلوبًا، وإرسال طلبات GET إلى خادم الاختبار الخاص بك. راجع النتائج في نافذة الدردشة، حيث قد يشرح الوكيل سبب عدم ضرورة استخدام MFA لواجهات API في سياقات معينة.
قراءة التكوين
يقرأ الوكيل ملف الإعدادات.
إرسال الطلب
يرسل الوكيل طلب اختبار.
فحص النتيجة
راجع مخرجات رمز الحالة.
خطة اختبار نموذجية
اقرأ ملف الخطة وشغّل الفحوصات واحدة تلو الأخرى باستخدام أمر الاختبار، واسأل قبل التغييرات.
- read_file
api-test-plan.txt18 سطرًا - grep
check 1مطابقة واحدة - Shell
run testexit 0 - edit_file
report.mdتم الحفظ
في انتظار موافقتك قبل الانتقال إلى الخطوة التاليةرفضقبول
api-test-plan.txt
# Staging API Test Plan
# Target: https://staging.example.com
check 1: GET /orders/ID as user B, expect 403
check 2: POST /login with bad token, expect 401
check 3: GET /users/profile, expect 200 OK
check 4: POST /logout, expect 200 OK
check 5: GET /orders/ID as user A, expect 200
check 6: POST /login with valid creds, expect 200
check 7: GET /health, expect 200 OK
check 8: POST /login with empty body, expect 400
check 9: GET /users/profile as anon, expect 401
check 10: POST /login with wrong pass, expect 401
check 11: GET /orders/ID as user B, expect 403
check 12: POST /login with valid creds, expect 200
check 13: GET /users/profile as user A, expect 200
check 14: POST /logout, expect 200 OK
check 15: GET /orders/ID as user A, expect 200
check 16: POST /login with bad token, expect 401
check 17: GET /health, expect 200 OK
check 18: POST /login with valid creds, expect 200يحدد هذا الملف النصي البسيط الفحوصات المحددة لبيئة الاختبار. وهو يوضح النتائج المتوقعة لكل طلب للتحقق من سلوك API.
اختبار JWT ومراجعة النطاق
مراجعة الرموز
يستخدم الوكيل read_file لتأكيد مطالبات المصدَر والجمهور في ملف التكوين، ويجب أن يعيد الطلب الاختبار باستخدام رمز منتهي الصلاحية في بيئة الاختبار رمز 403. هذا هو اختبار JWT. راجع المخرجات التفصيلية بعناية في وضع Ask first قبل قبول أي تغييرات. تعامل مع ثغرات IDOR في APIs عن طريق التحقق من أن المستخدم أ لا يمكنه قراءة سجلات المستخدم ب. يسجل الوكيل نتائج الاختبار لتقرير تقييم أمان API الخاص بك. لا تغادر أي بيانات تتبع جهاز الاستشعار جهاز الكمبيوتر الخاص بك أثناء العملية ويتم إخفاء الأسرار. تتوفر التحديثات عبر زر التحديث عندما تكون الإصدارات الجديدة جاهزة. يتم إرسال الملاحظات باستخدام الزر المضمن في التطبيق لمشاركة تجربتك.
فحص النطاق
يستخدم الوكيل grep لسرد تعريفات المسارات حتى تقارنها بنطاقك المعتمد وتتحقق من الهيكل بوضوح وكاملة. يتوقف وضع Ask first. يرسل الطلبات إلى خادم الاختبار للتحقق من الاستجابات. راجع أكواد الحالة التي يعيدها الخادم بعناية. تحتاج نقاط نهاية API العامة التي تعرض البيانات الشخصية إلى مراجعة دقيقة الآن. قراءة إعدادات حد معدل الطلب هي خطوة لتأكيد المنطق. راجع رسائل الخطأ لأي تسريبات في البيانات. هذا جزء من تقييم أمان API لاختبار الأمان.
