?我們?nèi)粘５慕涌跍y(cè)試工作主要是驗(yàn)證接口的功能性（入?yún)?、出參、邊界值等），我在接口測(cè)試過(guò)程中遇到的一些接口安全性的問(wèn)題，整理成了通用的測(cè)試點(diǎn)，不一定適用于全部的產(chǎn)品，僅做參考。

一、登錄接口校驗(yàn)

(1) 驗(yàn)證登錄接口中密碼是否密文傳輸

這個(gè)測(cè)試點(diǎn)聽(tīng)起來(lái)很荒唐，應(yīng)該大家都知道密碼應(yīng)該加密，但是在很多時(shí)候，研發(fā)人員為了趕工就會(huì)忽略這個(gè)點(diǎn)，所以建議大家測(cè)試登錄功能的時(shí)候，一定要F12查看一下登錄接口中密碼是否是密文。

(2) 驗(yàn)證登錄接口是否可以爆破登錄

對(duì)于一些安全性較高的系統(tǒng)，測(cè)試的時(shí)候有必要驗(yàn)證一下是否可以爆破登錄，可以使用Burpsuit進(jìn)行爆破登錄測(cè)試。當(dāng)然現(xiàn)在很多系統(tǒng)都是用手機(jī)號(hào)碼進(jìn)行動(dòng)態(tài)登錄，如果還是常規(guī)的賬戶和密碼登錄，就一定要對(duì)安全性提出質(zhì)疑了，密碼強(qiáng)度符合等保要求么？驗(yàn)證碼要不要加上去？

二、接口規(guī)則校驗(yàn)

(1) 驗(yàn)證接口類型是否合理

理論上來(lái)說(shuō)，除了查詢接口使用GET，其余的接口都應(yīng)該使用POST，這樣接口的安全性更高。沐沐以往的接口測(cè)試過(guò)程中確實(shí)遇到了不少業(yè)務(wù)接口使用get，參數(shù)拼接在url上及其不安全。此外，還有一個(gè)特殊情況，即不需要用戶登錄的系統(tǒng)，查詢類的接口也不建議使用GET，在安全掃描中會(huì)出現(xiàn)跨站點(diǎn)請(qǐng)求偽造的問(wèn)題。

(2) 驗(yàn)證新增和修改接口是否是獨(dú)立的接口

這個(gè)測(cè)試點(diǎn)有點(diǎn)離譜了，沐沐在測(cè)試過(guò)程中發(fā)現(xiàn)新增和修改接口共用同一個(gè)，這樣似乎是沒(méi)有什么問(wèn)題，但是后期遇到了一些復(fù)雜的業(yè)務(wù)邏輯，新增和修改接口融合在一起，導(dǎo)致了生產(chǎn)數(shù)據(jù)被篡改。所以接口設(shè)計(jì)還是要嚴(yán)謹(jǐn)一點(diǎn)，新增和修改接口盡量是獨(dú)立的接口。

(3) 驗(yàn)證POST接口中是否將參數(shù)拼接成URL

沐沐曾經(jīng)還遇到過(guò)將post接口的參數(shù)拼接到了url上，如果數(shù)據(jù)量較大的時(shí)候，url字符長(zhǎng)度太大接口就會(huì)報(bào)錯(cuò)，可能此類情況并不常見(jiàn)，但是遇到過(guò)就記錄下來(lái)了。

三、接口越權(quán)校驗(yàn)

接口的越權(quán)分為水平越權(quán)和垂直越權(quán)，我們可以通過(guò)Burpsuit、Appcan等工具進(jìn)行越權(quán)測(cè)試，測(cè)試過(guò)程中也遇到了以下問(wèn)題：

• 驗(yàn)證接口url上是否區(qū)域編碼、身份證號(hào)等參數(shù)；
• 驗(yàn)證接口url上存在true或false時(shí)，進(jìn)行篡改，功能、數(shù)據(jù)是否越權(quán)；
• 驗(yàn)證接口url上存在type=1或2時(shí)，進(jìn)行篡改，功能、數(shù)據(jù)是否越權(quán)；
• 接口參數(shù)中存在pagesize或者size時(shí)，進(jìn)行篡改，是否進(jìn)行最大值限制；
• 接口body參數(shù)中存在身份證號(hào)碼時(shí)，篡改參數(shù)值，接口是否返回正確提示。?