Открыть папку
Выберите каталог вашего проекта.
Рабочие процессы
оценка безопасности API с Orso Connect
03
Проверка API в тестовой среде
Откройте папку проекта в Orso Connect и попросите агента проверить поток входа, например, требуется ли MFA, и отправить GET-запросы на ваш сервер среды. Вы просматриваете результаты в окне чата, где агент может объяснить, почему в определенных контекстах не требуется MFA для API.
Прочитать конфигурацию
Агент читает файл настроек.
Отправить запрос
Агент отправляет тестовый запрос.
Проверить результат
Оцените возвращенный код состояния.
Пример плана тестирования
Прочитайте файл плана и выполните проверки по одной с помощью тестовой команды, спрашивая перед изменениями.
- read_file
api-test-plan.txt18 строк - grep
check 11 совпадение - Shell
run testexit 0 - edit_file
report.mdсохранено
ожидает вашего подтверждения перед следующим шагомОтклонитьПринять
api-test-plan.txt
# Staging API Test Plan
# Target: https://staging.example.com
check 1: GET /orders/ID as user B, expect 403
check 2: POST /login with bad token, expect 401
check 3: GET /users/profile, expect 200 OK
check 4: POST /logout, expect 200 OK
check 5: GET /orders/ID as user A, expect 200
check 6: POST /login with valid creds, expect 200
check 7: GET /health, expect 200 OK
check 8: POST /login with empty body, expect 400
check 9: GET /users/profile as anon, expect 401
check 10: POST /login with wrong pass, expect 401
check 11: GET /orders/ID as user B, expect 403
check 12: POST /login with valid creds, expect 200
check 13: GET /users/profile as user A, expect 200
check 14: POST /logout, expect 200 OK
check 15: GET /orders/ID as user A, expect 200
check 16: POST /login with bad token, expect 401
check 17: GET /health, expect 200 OK
check 18: POST /login with valid creds, expect 200Этот текстовый файл определяет конкретные проверки для тестовой среды. Он перечисляет ожидаемые результаты для каждого запроса для проверки поведения API.
тестирование JWT и обзор области
Анализ токенов
Агент использует read_file для проверки заявлений издателя и аудитории в конфигурации. Тестовый запрос с истекшим токеном в тестовой среде должен вернуть 403. Это тестирование JWT. Вы внимательно изучаете подробный вывод в режиме Ask first перед принятием любых изменений. Проверяйте IDOR в API, убедившись, что пользователь A не может читать записи пользователя B. Агент фиксирует результаты тестирования для вашего отчета об оценке безопасности API. Во время процесса телеметрия не покидает ваш ПК, а секреты маскируются. Обновления доступны через кнопку Update, когда новые версии готовы. Отзывы отправляются с помощью кнопки в приложении, чтобы поделиться своим опытом.
Проверка области
Агент использует grep для вывода определений маршрутов, чтобы вы могли сравнить их с утвержденной областью и четко и полностью проверить структуру. Режим Ask first приостанавливается. Агент отправляет запросы на сервер среды для проверки ответов. Вы внимательно изучаете коды состояния, возвращаемые сервером. Публичные конечные точки API, экспонирующие личные данные, требуют тщательной проверки сейчас. Чтение настроек ограничений частоты — это вопрос для подтверждения логики. Вы просматриваете сообщения об ошибках на наличие утечек данных. Это часть оценки безопасности API для тестирования безопасности.
