用途
n8n-security-testing 是一个针对 n8n 工作流的安全测试技能，用于在验证 n8n 工作流安全性时执行系统化的检查。其核心目标是发现工作流中的凭据暴露、加密缺陷、Webhook 认证缺失、表达式注入风险以及数据泄露问题。
主要能力
凭据安全测试
- 扫描工作流 JSON 中的凭据暴露，内置多种敏感模式匹配，包括通用 API Key、AWS Access Key、AWS Secret Key、Bearer Token、JWT Token、Slack Token、Password 字段、Secret 字段、Client Secret、Refresh Token。
- 验证凭据是否加密存储，检查是否加密、加密算法、密钥派生方式以及是否使用实例加密密钥。
- 测试凭据轮换流程，检查轮换计划、上次轮换时间、是否到期、OAuth 令牌刷新以及凭据年龄（超过 90 天视为陈旧）。
Webhook 安全测试
- 测试 Webhook 认证强制情况，覆盖无认证、无效 Basic Auth、无效 Bearer Token、无效 Header Auth 等场景，并检查是否返回预期的 401 状态。
- 测试 Webhook 输入校验，使用 XSS、SQL 注入、命令注入、路径遍历、JSON 注入、超大负载等恶意载荷，检查输入是否被安全处理。
表达式安全测试
- 扫描表达式中的危险模式，包括 eval()、Function()、setTimeout 字符串、setInterval 字符串、require()、import()、fs 访问、child_process、process.、exec()、spawn()、fetch()、XMLHttpRequest、proto、constructor.prototype，并按 CRITICAL、HIGH、MEDIUM 分级。
数据泄露测试
- 扫描执行日志中的凭据泄露，匹配 Password、API Key、Token、Secret、Authorization Header 等模式。
- 检查错误信息暴露，通过触发无效凭据、无效端点、数据库错误等场景，检测错误消息中是否包含连接字符串、URL 中的密码、完整文件路径、堆栈跟踪、内部 IP 等敏感数据。
安全审计报告模板
提供 n8n 安全审计报告模板，包含凭据安全、Webhook 安全、表达式安全、数据泄露四个类别的状态与发现数量，以及关键发现、修复建议和合规状态（OWASP Top 10）部分。
使用方式
该技能以代码片段形式提供各项测试函数，例如 scanForExposedCredentials、verifyCredentialEncryption、testCredentialRotation、testWebhookAuthentication、testWebhookInputValidation、scanExpressionsForSecurity、scanExecutionLogs、checkErrorMessageSecurity 等。使用时需结合 n8n 环境调用相应函数，并依据返回结果中的 findings、secure、recommendations 等字段判断安全状态。
适用场景
- 对 n8n 工作流导出文件进行凭据泄露扫描。
- 验证 n8n 实例中凭据的加密与轮换配置。
- 测试公开 Webhook 的认证与输入校验强度。
- 审查工作流表达式是否存在代码执行或原型污染风险。
- 检查执行日志与错误消息是否泄露敏感信息。
- 生成 n8n 安全审计报告。
限制
资料未提供该技能的安装方式、依赖环境、支持的 n8n 版本、运行平台、收费模式或价格信息，这些内容暂未提供。资料中未说明各项测试的自动化程度、执行入口或与 n8n API 的具体集成方式，暂未提供。