Відкрити папку
Виберіть каталог вашого проєкту.
Робочі процеси
Оцінка безпеки API з Orso Connect
03
Перевірте свій API у staging
Відкрийте папку проєкту в Orso Connect і попросіть агента перевірити потік входу, наприклад, чи обов’язкова MFA, та надіслати GET-запити на ваш staging-сервер. Ви переглядаєте результати у вікні чату, де агент може пояснити, чому MFA не вимагається для API в певних контекстах.
Прочитати конфігурацію
Агент читає файл налаштувань.
Надіслати запит
Агент надсилає тестовий запит.
Перевірити результат
Оцініть код стану.
Приклад тестового плану
Прочитайте файл плану та виконайте перевірки по черзі за допомогою тестової команди, запитуючи перед змінами.
- read_file
api-test-plan.txt18 рядків - grep
check 11 збіг - Shell
run testexit 0 - edit_file
report.mdзбережено
чекає на вашу згоду перед наступним крокомВідхилитиПрийняти
api-test-plan.txt
# Staging API Test Plan
# Target: https://staging.example.com
check 1: GET /orders/ID as user B, expect 403
check 2: POST /login with bad token, expect 401
check 3: GET /users/profile, expect 200 OK
check 4: POST /logout, expect 200 OK
check 5: GET /orders/ID as user A, expect 200
check 6: POST /login with valid creds, expect 200
check 7: GET /health, expect 200 OK
check 8: POST /login with empty body, expect 400
check 9: GET /users/profile as anon, expect 401
check 10: POST /login with wrong pass, expect 401
check 11: GET /orders/ID as user B, expect 403
check 12: POST /login with valid creds, expect 200
check 13: GET /users/profile as user A, expect 200
check 14: POST /logout, expect 200 OK
check 15: GET /orders/ID as user A, expect 200
check 16: POST /login with bad token, expect 401
check 17: GET /health, expect 200 OK
check 18: POST /login with valid creds, expect 200Цей текстовий файл визначає конкретні перевірки для середовища staging. У ньому перелічено очікувані результати кожного запиту для перевірки поведінки API.
Тестування JWT та огляд діапазону
Огляд токенів
Агент використовує read_file для підтвердження заяв про видавця та аудиторію в конфігурації, а тестовий запит із простроченим токеном на staging має повертати 403. Це тестування JWT. Ви ретельно переглядаєте детальний вивід у режимі Ask first перед прийняттям будь-яких змін. Уникайте IDOR в API, перевіривши, чи не може користувач A читати записи користувача B. Агент фіксує результати тестів для вашого звіту з оцінки безпеки API. Жодних телеметричних даних не залишає ваш ПК під час процесу, а секрети приховуються. Оновлення доступні через кнопку Update, коли нові версії готові. Зворотний зв’язок надсилається за допомогою кнопки в додатку, щоб поділитися своїм досвідом.
Перевірити діапазон
Агент використовує grep для переліку визначень маршрутів, щоб ви могли порівняти їх із затвердженим діапазоном та чітко та повністю перевірити структуру. Режим Ask first призупиняється. Він надсилає запити на staging-сервер для перевірки відповідей. Ви ретельно переглядаєте коди стану, повернені сервером. Публічні кінцеві точки API, що відкривають особисті дані, потребують ретельної перевірки зараз. Читання налаштувань лімітів швидкості — це питання для підтвердження логіки. Ви переглядаєте повідомлення про помилки на предмет будь-яких витоків даних. Це частина оцінки безпеки API для тестування безпеки.
