用途
API Security 是一个用于测试和审计 API 端点常见安全漏洞的技能，主要针对 OWASP Top 10 相关风险进行验证。它适合用在需要系统性检查 API 安全状况的场景中，例如上线前的安全自查、渗透测试辅助以及安全审计记录。
主要能力
该技能覆盖以下测试方向：
- 认证测试：测试失效的认证机制，包括无认证访问、使用过期 Token、空认证头，以及 JWT 未验证签名（alg:none 攻击）。
- 授权测试（IDOR）：测试越权访问其他用户资源，以及顺序 ID 枚举。
- 输入校验：包括 SQL 注入探测、通过 API 的 XSS、命令注入。
- 速率限制检查：通过快速连续请求检测是否返回 429。
- 安全响应头检查：检查 HSTS、Content-Security-Policy、X-Content-Type-Options、X-Frame-Options、Referrer-Policy、Permissions-Policy 等。
- CORS 配置错误检查：使用任意 Origin 测试响应头，检查是否在通配符下允许凭据。
- SSL/TLS 检查：检查证书与协议，以及弱协议是否被禁用。
使用方式
该技能以 curl 命令示例的形式给出各类测试方法。例如认证测试部分包含无认证访问、过期 Token、空认证头三种请求，并给出 alg:none 的 JWT 构造方式；授权测试部分给出访问其他用户资源和顺序 ID 枚举的脚本；输入校验部分给出 SQL 注入、XSS、命令注入的探测命令；速率限制部分给出循环请求并检测 429 的脚本；另有安全头、CORS、SSL/TLS 的检查命令。使用者需要根据实际目标 API 替换其中的域名、路径、Token 和 ID 等占位内容。
适用场景
- 对自有或已获明确授权的 API 进行安全审计。
- 上线前对认证、授权、输入处理、限流、响应头、CORS、TLS 配置进行基础性检查。
- 作为渗透测试或安全评估中的辅助检查清单。
注意事项与限制
- 仅测试自己拥有或获得明确授权的 API。
- 应先进行非破坏性测试（GET 请求、响应头检查），再进行注入类测试。
- 使用请求/响应配对记录所有发现。
- 误报很常见——每个发现都需要人工验证。
- 测试前应查看 API 文档以了解其预期的安全模型。
- 该技能仅提供测试命令与方法示例，不包含自动化执行框架或漏洞修复方案。