在接口测试过程中常见的接口安全性问题，通用测试点整理归纳
haoteby 2025-04-26 18:19 21 浏览
我们日常的接口测试工作主要是验证接口的功能性（入参、出参、边界值等），沐沐在接口测试过程中遇到的一些接口安全性的问题，整理成了通用的测试点，不一定适用于全部的产品，仅做参考。
一、登录接口校验
验证登录接口中密码是否密文传输
这个测试点听起来很荒唐，应该大家都知道密码应该加密，但是在很多时候，研发人员为了赶工就会忽略这个点，所以建议大家测试登录功能的时候，一定要F12查看一下登录接口中密码是否是密文。
验证登录接口是否可以爆破登录
对于一些安全性较高的系统，测试的时候有必要验证一下是否可以爆破登录，可以使用Burpsuit进行爆破登录测试。当然现在很多系统都是用手机号码进行动态登录，如果还是常规的账户和密码登录，就一定要对安全性提出质疑了，密码强度符合等保要求么？验证码要不要加上去？
二、接口规则校验
验证接口类型是否合理
理论上来说，除了查询接口使用GET，其余的接口都应该使用POST，这样接口的安全性更高。沐沐以往的接口测试过程中确实遇到了不少业务接口使用get，参数拼接在url上及其不安全。此外，还有一个特殊情况，即不需要用户登录的系统，查询类的接口也不建议使用GET，在安全扫描中会出现跨站点请求伪造的问题。
验证新增和修改接口是否是独立的接口
这个测试点有点离谱了，沐沐在测试过程中发现新增和修改接口共用同一个，这样似乎是没有什么问题，但是后期遇到了一些复杂的业务逻辑，新增和修改接口融合在一起，导致了生产数据被篡改。所以接口设计还是要严谨一点，新增和修改接口尽量是独立的接口。
验证POST接口中是否将参数拼接成URL
沐沐曾经还遇到过将post接口的参数拼接到了url上，如果数据量较大的时候，url字符长度太大接口就会报错，可能此类情况并不常见，但是遇到过就记录下来了。
三、接口越权校验
接口的越权分为水平越权和垂直越权，我们可以通过Burpsuit、Appcan等工具进行越权测试，测试过程中也遇到了以下问题：
验证接口url上是否区域编码、身份证号等参数；
验证接口url上存在true或false时，进行篡改，功能、数据是否越权；
验证接口url上存在type=1或2时，进行篡改，功能、数据是否越权；
接口参数中存在pagesize或者size时，进行篡改，是否进行最大值限制；
接口body参数中存在身份证号码时，篡改参数值，接口是否返回正确提示。
最后：
1）关注+私信回复：“测试”，可以免费领取一份10G软件测试工程师面试宝典文档资料。以及相对应的视频学习教程免费分享！，其中包括了有基础知识、Linux必备、Mysql数据库、抓包工具、接口测试工具、测试进阶-Python编程、Web自动化测试、APP自动化测试、接口自动化测试、测试高级持续集成、测试架构开发测试框架、性能测试等。
2）关注+私信回复："入群" 就可以邀请你进入软件测试群学习交流~~
相关推荐
- Chrome OS 41 用 Freon 取代 X11_chrome os atom
-
在刚发布的ChromeOS41里，除了常规的Wi-Fi稳定性提升（几乎所有系统的changelog里都会包含这一项）、访客模式壁纸等之外，还存在底层改变。这一更新中Google移除...
- 苹果iPad Pro再曝光 有望今年六月发布
-
自进入2015年以后，有关大屏iPad的消息便一直不绝于耳，之前就有不少媒体猜想这款全新的平板电脑将会在三月发布，不过可惜的是我么只在那次发布会上看到了MacBookPro。近日@Ubuntu团队便...
- 雷卯针对香橙派Orange Pi 5 Max开发板防雷防静电方案
-
一、应用场景高端平板、边缘计算、人工智能、云计算、AR/VR、智能安防、智能家居、Linux桌面计算机、Linux网络服务器、Android平板、Android游戏机...
- Ubuntu Server无法更新问题解决_ubuntu server not found
-
上周老家的一台运行UbuntuServer的盒子无法连接上了，中秋这两天回来打开，顺手更新一下发现更新报错。提示`E:Releasefileforhttps://mirrors.aliyun...
- 虚幻引擎5正式版发布:古墓丽影&巫师新作采用、新一代实时渲染
-
机器之心报道编辑：杜伟、陈萍虚幻引擎5的目标是「助力各种规模的团队在视觉领域和互动领域挑战极限，施展无限潜能」。...
- AMD Milan-X双路霄龙7773X平台基准测试曝光 CPU缓存总量超1.5GB
-
OpenBenchmarking基准测试数据库刚刚曝光了AMDMilan-X双路霄龙7773X平台的跑分成绩，虽然很快就被撤下，但我们还是知晓了高达1.6GB的总CPU缓存。早些时...
- 全网最新的Dify(1.7.2)私有化离线部署教程(ARM架构)
-
Hello，大家好！近期工作中有涉及到Dify私有化离线部署，特别是针对于一些国产设备。因此特别整理了该教程，实测有效！有需要的小伙伴可以参考下！本文主要针对Dify1.7.2最新版本+国产操作系...
- 在ubuntu下新建asp.net core项目_创建ubuntu
-
本文一步步讲述在ubuntu下用visualstudiocode创建asp.netcore项目的过程。step1：环境操作系统：virtualbox下安装的lubuntu。请不要开启“硬件...
-
- 在晶晨A311D2处理器上进行Linux硬件视频编码
-
在KhadasVIM4AmogicA311D2SBC上，我更多的时间是在使用Ubuntu22.04。它的总体性能还不错，只不过缺少3D图形加速和硬件视...
-
2025-08-26 17:22 haoteby
- Nacos3.0重磅来袭!全面拥抱AI，单机及集群模式安装详细教程!
-
之前和大家分享过JDK17的多版本管理及详细安装过程，然后在项目升级完jdk17后又发现之前的注册和配置中心nacos又用不了，原因是之前的nacos1.3版本的，版本太老了，已经无法适配当前新的JD...
- 电影质量级渲染来了!虚幻引擎5.3正式发布:已开放下载
-
快科技9月8日消息，日前，Unrealengine正式发布了虚幻引擎5.3，带来了大量全方位的改进。...
- 2025如何选购办公电脑?极摩客mini主机英特尔系列选购指南
-
当下，迷你主机的性能越来越强，品类也越来越多。但是CPU是不变的，基本都是AMD和英特尔的。有一个小伙伴在评论区提问，我应该如何在众多机器中选购一台符合自己的迷你主机呢？那今天我们优先把我们的系列，分...
- ubuntu 20.04+RTX4060 Ti+CUDA 11.7+cudnn
-
ububtu添加国内源sudocp/etc/apt/sources.list/etc/apt/sources.list.backupsudovim/etc/apt/sources.lis...
- Linux Mint 18将重新基于Ubuntu 16.04 带来更好硬件支持
-
项目负责人ClementLefebvre在本月6日披露了关于LinuxMint18“Sarah”操作系统的大量信息，包括带来全新扁平化体验的Mint-Y主题。而现在，这款将于年底之前上线的操作...