Buka folder
Pilih direktori proyek Anda.
Alur Kerja
Penilaian Keamanan API dengan Orso Connect
03
Periksa API staging Anda
Buka folder proyek Anda di Orso Connect dan minta agen meninjau alur login, misalnya apakah MFA diperlukan, lalu kirim permintaan GET ke server staging Anda. Tinjau hasilnya di jendela obrolan, di mana agen dapat menjelaskan mengapa MFA tidak diperlukan untuk API dalam konteks tertentu.
Baca konfigurasi
Agen membaca file pengaturan.
Kirim permintaan
Agen mengirim permintaan pengujian.
Periksa hasil
Tinjau output kode status.
Contoh rencana pengujian
Baca file rencana dan jalankan pemeriksaan satu per satu dengan perintah pengujian, bertanya sebelum melakukan perubahan.
- read_file
api-test-plan.txt18 baris - grep
check 11 kecocokan - Shell
run testexit 0 - edit_file
report.mddisimpan
menunggu persetujuan Anda sebelum langkah berikutnyaTolakTerima
api-test-plan.txt
# Staging API Test Plan
# Target: https://staging.example.com
check 1: GET /orders/ID as user B, expect 403
check 2: POST /login with bad token, expect 401
check 3: GET /users/profile, expect 200 OK
check 4: POST /logout, expect 200 OK
check 5: GET /orders/ID as user A, expect 200
check 6: POST /login with valid creds, expect 200
check 7: GET /health, expect 200 OK
check 8: POST /login with empty body, expect 400
check 9: GET /users/profile as anon, expect 401
check 10: POST /login with wrong pass, expect 401
check 11: GET /orders/ID as user B, expect 403
check 12: POST /login with valid creds, expect 200
check 13: GET /users/profile as user A, expect 200
check 14: POST /logout, expect 200 OK
check 15: GET /orders/ID as user A, expect 200
check 16: POST /login with bad token, expect 401
check 17: GET /health, expect 200 OK
check 18: POST /login with valid creds, expect 200File teks ini menentukan pemeriksaan spesifik untuk lingkungan staging. File ini mencantumkan hasil yang diharapkan untuk setiap permintaan guna memverifikasi perilaku API.
Pengujian JWT dan tinjauan cakupan
Tinjau token
Agen menggunakan read_file untuk mengonfirmasi klaim penerbit dan audiens dalam konfigurasi. Permintaan pengujian dengan token kedaluwarsa di staging harus mengembalikan 403. Ini adalah pengujian JWT. Tinjau output terperinci dengan cermat dalam mode Ask first sebelum menerima perubahan. Tangani IDOR pada API dengan memastikan pengguna A tidak dapat membaca catatan pengguna B. Agen mencatat hasil pengujian untuk laporan penilaian keamanan API Anda. Tidak ada telemetri yang keluar dari PC Anda selama proses ini dan rahasia dihapus. Pembaruan tersedia melalui tombol Update ketika versi baru siap. Kirim umpan balik menggunakan tombol dalam aplikasi untuk berbagi pengalaman Anda.
Periksa cakupan
Agen menggunakan grep untuk mencantumkan definisi rute agar Anda dapat membandingkannya dengan cakupan yang disetujui dan memverifikasi strukturnya secara jelas dan lengkap. Mode Ask first akan menjeda. Agen mengirim permintaan ke server staging untuk memverifikasi responsnya. Tinjau kode status yang dikembalikan oleh server dengan cermat. Titik akhir API publik yang mengekspos data pribadi perlu ditinjau dengan hati-hati. Membaca pengaturan batas laju adalah langkah untuk mengonfirmasi logika. Tinjau pesan kesalahan untuk mendeteksi kebocoran data. Ini adalah bagian dari penilaian keamanan API untuk pengujian keamanan.
