范围
我们测试什么
范围以 OWASP API Security Top 10（2023）为基础。收益最高却最常被省略的工作，是跨角色、跨租户的认证测试：这是发现失效的对象级和功能级授权的唯一途径。我们会索取您的 OpenAPI/Swagger 规范，以覆盖几乎全部路由（缺少该规范本身就是一项发现）。
通常范围
- 跨租户、跨角色的失效对象级授权（BOLA / IDOR）
- 通过角色与方法替换检验失效的功能级授权（BFLA）
- 失效的对象属性级授权：批量赋值与数据过度暴露
- 认证、不受限的资源消耗与敏感业务流
- 注入、SSRF 与安全配置错误
- GraphQL 特有问题：内省、批处理、嵌套查询 DoS 与错误信息泄露
我们如何工作
灰盒、经认证、多角色
灰盒是兼顾成本效益的常规做法：由您提供规范以及各角色的测试账户。测试以人工为主，因为扫描器能发现配置错误和已知 CVE，却会遗漏构成 API 主要风险的授权与业务逻辑缺陷。
- 1
范围界定与账户
我们就边界达成一致，并收集跨角色、跨租户的多个账户，以及您的 OpenAPI/Swagger 规范。
- 2
端点清点
我们依据规范和实时流量，构建一份完整的路由与操作地图，并标出规范中的缺口。
- 3
认证与授权探测
我们跨角色、跨租户检验对象级和功能级访问控制，这正是 API 风险的核心所在。
- 4
输入、注入与业务逻辑滥用
我们以概念验证检验注入、SSRF、资源消耗以及对敏感业务流的滥用。
- 5
报告与免费复测
您将获得一份附请求/响应证据、按优先级排序的报告；我们会在 SoW 约定的时间窗口内对已修复的问题进行免费复测。
方法论与标准
立足于 OWASP API Security 标准
OWASP API Top 10（2023）OWASP WSTG-APIT-01OWASP ASVS 5.0PTESCVSS 3.1CWE
覆盖范围对照 OWASP API Security Top 10（2023）；GraphQL 测试另外遵循 OWASP WSTG-APIT-01（GraphQL 测试）。授权类发现（BOLA、BFLA、对象属性）需要跨角色、跨租户的多个账户，仅凭单个令牌无法发现。发现以 CVSS 3.1 评分。