Otevřít složku
Vyberte složku svého projektu.
Pracovní postupy
Posouzení bezpečnosti API s Orso Connect
03
Ověřte své staging API
Otevřete složku projektu v Orso Connect a požádejte agenta, aby zkontroloval přihlašovací tok – například zda je vyžadováno MFA – a odeslal GET požadavky na váš staging server. Výsledky zkontrolujete v okně chatu, kde vám agent může vysvětlit, proč není MFA vyžadováno pro API v určitých kontextech.
Přečíst konfiguraci
Agent přečte soubor s nastavením.
Odeslat požadavek
Agent odešle testovací požadavek.
Zkontrolovat výsledek
Zkontrolujte vrácený stavový kód.
Příklad testovacího plánu
Přečtěte si soubor s plánem a proveďte kontroly jednu po druhé pomocí testovacího příkazu, přičemž se před změnami zeptáte.
- read_file
api-test-plan.txt18 řádků - grep
check 11 shoda - Shell
run testexit 0 - edit_file
report.mduloženo
čeká na tvé potvrzení před dalším krokemOdmítnoutPřijmout
api-test-plan.txt
# Staging API Test Plan
# Target: https://staging.example.com
check 1: GET /orders/ID as user B, expect 403
check 2: POST /login with bad token, expect 401
check 3: GET /users/profile, expect 200 OK
check 4: POST /logout, expect 200 OK
check 5: GET /orders/ID as user A, expect 200
check 6: POST /login with valid creds, expect 200
check 7: GET /health, expect 200 OK
check 8: POST /login with empty body, expect 400
check 9: GET /users/profile as anon, expect 401
check 10: POST /login with wrong pass, expect 401
check 11: GET /orders/ID as user B, expect 403
check 12: POST /login with valid creds, expect 200
check 13: GET /users/profile as user A, expect 200
check 14: POST /logout, expect 200 OK
check 15: GET /orders/ID as user A, expect 200
check 16: POST /login with bad token, expect 401
check 17: GET /health, expect 200 OK
check 18: POST /login with valid creds, expect 200Tento prostý textový soubor definuje konkrétní kontroly pro prostředí staging. Vypisuje očekávané výsledky pro každý požadavek, abyste ověřili chování API.
Testování JWT a revize rozsahu
Zkontrolovat tokeny
Agent použije read_file k ověření nároků vydavatele a publika v konfiguraci. Testovací požadavek s expirovaným tokenem na stagingu by měl vrátit 403. Toto je testování JWT. Výsledky podrobně zkontrolujete v režimu Ask first před přijetím jakýchkoli změn. Řešte IDOR v API tím, že zkontrolujete, zda uživatel A nemůže číst záznamy uživatele B. Agent zaznamená výsledky testů do zprávy o posouzení bezpečnosti vašeho API. Během procesu neopustí váš PC žádná telemetrie a tajná data jsou maskována. Aktualizace jsou k dispozici prostřednictvím tlačítka Aktualizovat, když jsou k dispozici nové verze. Zpětnou vazbu odešlete pomocí tlačítka v aplikaci a sdílejte své zkušenosti.
Zkontrolovat rozsah
Agent použije grep k výpisu definic tras, abyste je mohli porovnat se svým schváleným rozsahem a ověřit strukturu jasně a kompletně. Režim Ask first se pozastaví. Agent odesílá požadavky na staging server k ověření odpovědí. Vy důkladně zkontrolujete stavové kódy vrácené serverem. Veřejné koncové body API vystavující osobní údaje je třeba nyní pečlivě zkontrolovat. Čtení nastavení limitu rychlosti slouží k ověření logiky. Zkontrolujete chybové zprávy, zda nedochází k únikům dat. Toto je součástí posouzení bezpečnosti API při bezpečnostním testování.
