Deschide dosarul
Selectează directorul proiectului tău.
Fluxuri de lucru
Evaluarea securității API cu Orso Connect
03
Verifică API-ul de staging
Deschide dosarul proiectului tău în Orso Connect și roagă agentul să revizuiască fluxul de autentificare, de exemplu dacă MFA este obligatoriu, și să trimită cereri GET către serverul tău de staging. Revizuiești rezultatele în fereastra de chat, unde agentul ar putea explica de ce nu se cere mfa pentru apis în anumite contexte.
Citește configurarea
Agentul citește fișierul de setări.
Trimite cererea
Agentul trimite o cerere de test.
Verifică rezultatul
Revizuiește codul de status returnat.
Exemplu de plan de testare
Citește fișierul cu planul și execută verificările pe rând cu o comandă de testare, întrebând înainte de modificări.
- read_file
api-test-plan.txt18 linii - grep
check 11 potrivire - Shell
run testexit 0 - edit_file
report.mdsalvat
așteaptă aprobarea ta înainte de următorul pasRespingeAcceptă
api-test-plan.txt
# Staging API Test Plan
# Target: https://staging.example.com
check 1: GET /orders/ID as user B, expect 403
check 2: POST /login with bad token, expect 401
check 3: GET /users/profile, expect 200 OK
check 4: POST /logout, expect 200 OK
check 5: GET /orders/ID as user A, expect 200
check 6: POST /login with valid creds, expect 200
check 7: GET /health, expect 200 OK
check 8: POST /login with empty body, expect 400
check 9: GET /users/profile as anon, expect 401
check 10: POST /login with wrong pass, expect 401
check 11: GET /orders/ID as user B, expect 403
check 12: POST /login with valid creds, expect 200
check 13: GET /users/profile as user A, expect 200
check 14: POST /logout, expect 200 OK
check 15: GET /orders/ID as user A, expect 200
check 16: POST /login with bad token, expect 401
check 17: GET /health, expect 200 OK
check 18: POST /login with valid creds, expect 200Acest fișier text simplu definește verificările specifice pentru mediul de staging. Listează rezultatele așteptate pentru fiecare cerere pentru a verifica comportamentul API-ului.
Testarea JWT și revizuirea domeniului
Revizuiește tokenurile
Agentul folosește read_file pentru a confirma emițătorul și revendicările de public țintă în configurare, iar o cerere de test cu un token expirat pe staging ar trebui să returneze 403. Aceasta este testarea JWT. Revizuiești cu atenție rezultatele detaliate în modulul Ask first înainte de a accepta orice modificări. Gestionează IDOR în API-uri verificând că utilizatorul A nu poate citi înregistrările utilizatorului B. Agentul înregistrează rezultatele testelor pentru raportul tău de evaluare a securității API. Nu părăsesc PC-ul tău telemetrie în timpul procesului și secretele sunt redactate. Actualizările sunt disponibile prin butonul Update când sunt gata versiunile noi. Feedback-ul se trimite folosind butonul din aplicație pentru a-ți împărtăși experiența.
Verifică domeniul
Agentul folosește grep pentru a lista definițiile rutelor astfel încât să le compari cu domeniul tău aprobat și să verifici structura clar și complet. Modulul Ask first se oprește. Trimite cereri către serverul de staging pentru a verifica răspunsurile. Revizuiești cu atenție codurile de status returnate de server. Endpoint-urile API publice care expun date personale necesită o revizuire atentă acum. Citirea setărilor de limitare a ratei este o întrebare pentru a confirma logica. Revizuiești mesajele de eroare pentru orice scurgeri de date. Aceasta face parte din evaluarea securității API pentru testarea securității.
