Otwórz folder
Wybierz katalog swojego projektu.
Przepływy pracy
Ocena bezpieczeństwa API z Orso Connect
03
Sprawdź swoje API staging
Otwórz folder projektu w Orso Connect i poproś agenta o przeanalizowanie przepływu logowania, np. czy wymagane jest MFA, oraz o wysłanie żądań GET na serwer staging. Przeglądasz wyniki w oknie czatu, gdzie agent może wyjaśnić, dlaczego w niektórych kontekstach nie wymaga się MFA dla API.
Przeczytaj konfigurację
Agent odczytuje plik ustawień.
Wyślij żądanie
Agent wysyła żądanie testowe.
Sprawdź wynik
Przejrzyj zwrócony kod stanu.
Przykładowy plan testów
Przeczytaj plik planu i uruchom sprawdzenia jedno po drugim za pomocą polecenia testowego, pytając przed wprowadzeniem zmian.
- read_file
api-test-plan.txt18 linii - grep
check 11 dopasowanie - Shell
run testexit 0 - edit_file
report.mdzapisano
oczekuje na Twoją zgodę przed kolejnym krokiemOdrzućAkceptuj
api-test-plan.txt
# Staging API Test Plan
# Target: https://staging.example.com
check 1: GET /orders/ID as user B, expect 403
check 2: POST /login with bad token, expect 401
check 3: GET /users/profile, expect 200 OK
check 4: POST /logout, expect 200 OK
check 5: GET /orders/ID as user A, expect 200
check 6: POST /login with valid creds, expect 200
check 7: GET /health, expect 200 OK
check 8: POST /login with empty body, expect 400
check 9: GET /users/profile as anon, expect 401
check 10: POST /login with wrong pass, expect 401
check 11: GET /orders/ID as user B, expect 403
check 12: POST /login with valid creds, expect 200
check 13: GET /users/profile as user A, expect 200
check 14: POST /logout, expect 200 OK
check 15: GET /orders/ID as user A, expect 200
check 16: POST /login with bad token, expect 401
check 17: GET /health, expect 200 OK
check 18: POST /login with valid creds, expect 200Ten plik tekstowy definiuje konkretne sprawdzenia dla środowiska staging. Wymienia oczekiwane wyniki dla każdego żądania, aby zweryfikować zachowanie API.
Testowanie JWT i przegląd zakresu
Przejrzyj tokeny
Agent używa read_file do potwierdzenia żądań wydawcy (issuer) i odbiorcy (audience) w konfiguracji, a żądanie testowe z wygasłym tokenem na staging powinno zwrócić 403. To jest testowanie jwt. Przeglądasz szczegółowe wyniki uważnie w trybie Ask first przed zaakceptowaniem jakichkolwiek zmian. Obsłuż IDOR w API, sprawdzając, czy użytkownik A nie może odczytać rekordów użytkownika B. Agent zapisuje wyniki testów do raportu oceny bezpieczeństwa Twojego API. Żadna telemetria nie opuszcza Twojego komputera podczas procesu, a sekrety są maskowane. Aktualizacje są dostępne za pomocą przycisku Update, gdy nowe wersje będą gotowe. Feedback wysyłasz za pomocą przycisku w aplikacji, aby podzielić się swoimi doświadczeniami.
Sprawdź zakres
Agent używa grep do wypisania definicji tras, abyś mógł je porównać z zatwierdzonym zakresem i zweryfikować strukturę w sposób jasny i kompletny. Tryb Ask first wstrzymuje działanie. Agent wysyła żądania do serwera staging, aby zweryfikować odpowiedzi. Uważnie przeglądasz kody stanu zwracane przez serwer. Publiczne punkty końcowe API udostępniające dane osobowe wymagają teraz ostrożnego przeglądu. Przeczytanie ustawień limitu szybkości to pytanie do potwierdzenia logiki. Przeglądasz komunikaty o błędach w poszukiwaniu wycieków danych. Jest to część oceny bezpieczeństwa API w ramach testów bezpieczeństwa.
