用途
这是一个专注于 API 安全测试的工作流，针对 REST 和 GraphQL API，覆盖认证、授权、速率限制、输入校验以及 API 特有漏洞。它用于在安全评估中系统化地组织 API 测试环节。
适用场景
资料明确列出的使用场景包括：
- 测试 REST API 安全
- 评估 GraphQL 端点
- 校验 API 认证
- 测试 API 速率限制
- 漏洞赏金中的 API 测试
工作流阶段
工作流分为多个阶段，每个阶段列出可调用的技能（Skills）与执行动作。
第一阶段：API 发现
- 调用技能：api-fuzzing-bug-bounty（API 模糊测试）、scanning-tools（API 扫描）
- 动作：枚举端点、记录 API 方法、识别参数、绘制数据流、审阅文档
- 可复制提示词：Use @api-fuzzing-bug-bounty to discover API endpoints
第二阶段：认证测试
- 调用技能：broken-authentication（认证测试）、api-security-best-practices（API 认证）
- 动作：测试 API 密钥校验、测试 JWT 令牌、测试 OAuth2 流程、测试令牌过期、测试刷新令牌
- 可复制提示词：Use @broken-authentication to test API authentication
第三阶段：授权测试
- 调用技能：idor-testing（IDOR 测试）
- 动作：测试对象级授权、测试功能级授权、测试基于角色的访问、测试权限提升、测试多租户隔离
- 可复制提示词：Use @idor-testing to test API authorization
第四阶段：输入校验
- 调用技能：api-fuzzing-bug-bounty（API 模糊测试）、sql-injection-testing（注入测试）
- 动作：测试参数校验、测试 SQL 注入、测试 NoSQL 注入、测试命令注入、测试 XXE 注入
- 可复制提示词：Use @api-fuzzing-bug-bounty to fuzz API parameters
第五阶段：速率限制
- 调用技能：api-security-best-practices（速率限制）
- 动作：测试速率限制响应头、测试暴力破解防护、测试资源耗尽、测试绕过技术、记录限制情况
- 可复制提示词：Use @api-security-best-practices to test rate limiting
第六阶段：GraphQL 测试
- 调用技能：api-fuzzing-bug-bounty（GraphQL 模糊测试）
- 动作：测试内省（introspection）、测试查询深度、测试查询复杂度、测试批量查询、测试字段建议
- 可复制提示词：Use @api-fuzzing-bug-bounty to test GraphQL security
第七阶段：错误处理
- 调用技能：api-security-best-practices（错误处理）
- 动作：测试错误消息、检查信息泄露、测试堆栈跟踪、验证日志记录、记录发现结果
- 可复制提示词：Use @api-security-best-practices to audit API error handling
API 安全检查清单
- 认证可用
- 授权已强制执行
- 输入已校验
- 速率限制已启用
- 错误已清理
- 日志已启用
- CORS 已配置
- 已强制使用 HTTPS
质量门
- 所有端点均已测试
- 漏洞已记录
- 已提供修复建议
- 已生成报告
相关工作流包
- security-audit（安全审计）
- web-security-testing（Web 安全）
- api-development（API 开发）
限制
资料明确指出：仅当任务与上述范围明确匹配时才使用该技能；不得将输出视为针对具体环境的验证、测试或专家评审的替代品；如果缺少必需输入、权限、安全边界或成功标准，应停止并请求澄清。