Apri cartella
Seleziona la directory del progetto.
Flussi di lavoro
Valutazione della sicurezza API con Orso Connect
03
Verifica la tua API di staging
Apri la cartella del progetto in Orso Connect e chiedi all'agente di analizzare il flusso di accesso, ad esempio se è richiesta l'MFA, e di inviare richieste GET al tuo server di staging. Rivedi i risultati nella finestra di chat, dove l'agente potrebbe spiegare perché non è richiesta l'MFA per le API in certi contesti.
Leggi configurazione
L'agente legge il file di impostazioni.
Invia richiesta
L'agente invia una richiesta di test.
Verifica risultato
Controlla il codice di stato restituito.
Piano di test di esempio
Leggi il file del piano ed esegui i controlli uno per uno con un comando di test, chiedendo prima delle modifiche.
- read_file
api-test-plan.txt18 righe - grep
check 11 corrispondenza - Shell
run testexit 0 - edit_file
report.mdsalvato
in attesa del tuo OK prima del passaggio successivoRifiutaAccetta
api-test-plan.txt
# Staging API Test Plan
# Target: https://staging.example.com
check 1: GET /orders/ID as user B, expect 403
check 2: POST /login with bad token, expect 401
check 3: GET /users/profile, expect 200 OK
check 4: POST /logout, expect 200 OK
check 5: GET /orders/ID as user A, expect 200
check 6: POST /login with valid creds, expect 200
check 7: GET /health, expect 200 OK
check 8: POST /login with empty body, expect 400
check 9: GET /users/profile as anon, expect 401
check 10: POST /login with wrong pass, expect 401
check 11: GET /orders/ID as user B, expect 403
check 12: POST /login with valid creds, expect 200
check 13: GET /users/profile as user A, expect 200
check 14: POST /logout, expect 200 OK
check 15: GET /orders/ID as user A, expect 200
check 16: POST /login with bad token, expect 401
check 17: GET /health, expect 200 OK
check 18: POST /login with valid creds, expect 200Questo file di testo semplice definisce i controlli specifici per l'ambiente di staging. Elenca i risultati attesi per ogni richiesta per verificare il comportamento dell'API.
Test JWT e revisione dell'ambito
Analizza i token
L'agente usa read_file per confermare le claim di issuer e audience nella configurazione; una richiesta di test con un token scaduto su staging dovrebbe restituire 403. Questo è jwt testing. Rivedi attentamente l'output dettagliato in modalità Ask first prima di accettare eventuali modifiche. Gestisci l'idor nelle API verificando che l'utente A non possa leggere i record dell'utente B. L'agente registra i risultati del test per il tuo report di api security assessment. Nessun dato di telemetria lascia il tuo PC durante il processo e i segreti vengono oscurati. Gli aggiornamenti sono disponibili tramite il pulsante Update quando le nuove versioni sono pronte. Il feedback viene inviato utilizzando il pulsante nell'app per condividere la tua esperienza.
Verifica ambito
L'agente usa grep per elencare le definizioni delle route così da confrontarle con il tuo ambito approvato e verificare la struttura in modo chiaro e completo. La modalità Ask first si mette in pausa. Invia richieste al server di staging per verificare le risposte. Rivedi attentamente i codici di stato restituiti dal server. Gli endpoint API pubblici che espongono dati personali richiedono una revisione attenta ora. La lettura delle impostazioni di rate-limit serve a confermare la logica. Controlla i messaggi di errore per eventuali perdite di dati. Questo fa parte della api security assessment per i test di sicurezza.
