在接口测试过程中常见的接口安全性问题，通用测试点整理归纳
haoteby 2025-04-26 18:19 8 浏览
我们日常的接口测试工作主要是验证接口的功能性（入参、出参、边界值等），沐沐在接口测试过程中遇到的一些接口安全性的问题，整理成了通用的测试点，不一定适用于全部的产品，仅做参考。
一、登录接口校验
验证登录接口中密码是否密文传输
这个测试点听起来很荒唐，应该大家都知道密码应该加密，但是在很多时候，研发人员为了赶工就会忽略这个点，所以建议大家测试登录功能的时候，一定要F12查看一下登录接口中密码是否是密文。
验证登录接口是否可以爆破登录
对于一些安全性较高的系统，测试的时候有必要验证一下是否可以爆破登录，可以使用Burpsuit进行爆破登录测试。当然现在很多系统都是用手机号码进行动态登录，如果还是常规的账户和密码登录，就一定要对安全性提出质疑了，密码强度符合等保要求么？验证码要不要加上去？
二、接口规则校验
验证接口类型是否合理
理论上来说，除了查询接口使用GET，其余的接口都应该使用POST，这样接口的安全性更高。沐沐以往的接口测试过程中确实遇到了不少业务接口使用get，参数拼接在url上及其不安全。此外，还有一个特殊情况，即不需要用户登录的系统，查询类的接口也不建议使用GET，在安全扫描中会出现跨站点请求伪造的问题。
验证新增和修改接口是否是独立的接口
这个测试点有点离谱了，沐沐在测试过程中发现新增和修改接口共用同一个，这样似乎是没有什么问题，但是后期遇到了一些复杂的业务逻辑，新增和修改接口融合在一起，导致了生产数据被篡改。所以接口设计还是要严谨一点，新增和修改接口尽量是独立的接口。
验证POST接口中是否将参数拼接成URL
沐沐曾经还遇到过将post接口的参数拼接到了url上，如果数据量较大的时候，url字符长度太大接口就会报错，可能此类情况并不常见，但是遇到过就记录下来了。
三、接口越权校验
接口的越权分为水平越权和垂直越权，我们可以通过Burpsuit、Appcan等工具进行越权测试，测试过程中也遇到了以下问题：
验证接口url上是否区域编码、身份证号等参数；
验证接口url上存在true或false时，进行篡改，功能、数据是否越权；
验证接口url上存在type=1或2时，进行篡改，功能、数据是否越权；
接口参数中存在pagesize或者size时，进行篡改，是否进行最大值限制；
接口body参数中存在身份证号码时，篡改参数值，接口是否返回正确提示。
最后：
1）关注+私信回复：“测试”，可以免费领取一份10G软件测试工程师面试宝典文档资料。以及相对应的视频学习教程免费分享！，其中包括了有基础知识、Linux必备、Mysql数据库、抓包工具、接口测试工具、测试进阶-Python编程、Web自动化测试、APP自动化测试、接口自动化测试、测试高级持续集成、测试架构开发测试框架、性能测试等。
2）关注+私信回复："入群" 就可以邀请你进入软件测试群学习交流~~
相关推荐
- 5个珍藏多年的资源网站，免费又实用，建议收藏
-
今天给大家分享5个珍藏多年的资源网站，每个都是免费的，而且非常的实用，建议收藏。1、wallhaven一个国外知名的壁纸网站，拥有海量的8k、4k的超清图片壁纸，该网站的图片是由各地的创作者提供下载，...
- 设计网站推荐 | 国内外设计类素材网站
-
网站分享|十个不得不推荐的设计类素材网站！一些压箱底的常用的设计类素材分享！一定要打开这些网站试一试哦！...
- 阿里巴巴旗下菜鸟裹裹换新LOGO?长高了
-
LOGO大师整理编辑（ID：logods）...
- 10个做PPT必备的素材网站，越用越上瘾，每个都是宝藏
-
Pexelshttps://www.pexels.com/zh-cn/...
- 阿里旗下的四款免费小工具 好用并且能大大提升工作效率
-
好的工具能大大的提升你的工作效率，今天给大家分享的是阿里旗下的四款经典免费小工具，主要是用来设计，能方便，且高效的提高你的工作效率，觉得有用就收藏了吧。第一个：阿里巴巴图标库阿里巴巴图标库有将近80多...
- UI设计入门干货!八大软件+技能+素材网站
-
随着互联网行业的发展，UI设计师越来越多的被提及，UI设计师大火，需求岗位越来越多，也有越来越多的人转行投身UI设计师。UI设计是什么？一般所说的UI设计多指UI视觉设计，主要负责APP、Web、H5...
- 干货!宝藏PPT素材——海量图标免费使用
-
我是星辰四个月的假期收集了一些PPT素材，筹备了这个公众号今天终于和大家见面了此公众号不定时更新各种素材干活和PPT模板记得关注我哦~后台发送“PPT”领取免费PPT模板总是很难找到合适PPT素材？费...
- 写了100多篇原创文章，我常用的在线工具网站推荐给大家
-
摘要不知不觉写博客已经一年多了，累计写了100多篇原创文章，今天给大家分享下我经常使用的在线工具网站，希望对大家有所帮助！MarkdownNice支持自定义样式的在线Markdown编辑器，编辑完成...
- 设计者必备神器:必须收藏的在线软件推荐
-
本内容来源于@什么值得买SMZDM.COM｜首席生活家保密对于新电脑或重新刷系统的电脑，安装一堆软件是很费时间的，而软件多了会对系统运行速度有影响，特别是机械硬盘，响应时间与软件数量成正比的。而用了...
- 干货 | 设计师必备网站，大神作品、图片素材一网打尽
-
经常会听到这样的一句话：设计师每日正式开始工作的第一件事，就是打开3个及以上的设计/素材网站。网站中的优秀作品不仅可以帮助设计师提升自己，还能激发创作的灵感，所以今天，我们为大家整理了一些国内外优秀的...
- 推荐11个超好用的在线作图网站
-
现在做图好像已经不是设计师的专利不管是新媒体人、文案，还是随便一个人不会随时随地做几张漂亮图不能分分钟出点海报、封面图、邀请函什么的还怎么昂首挺胸在办公室里混不会PS没关系，不会做图可不行所以今天老贼...
- 做设计还只知道花瓣包图网?这100+个免费商用素材网站送给你
-
作为设计师你常用的网站是哪些呢？花瓣？站酷？千库？千图？包图？这些网站确实是大家最常用的网站，各种风格的元素、模板、源文件，用起来可以说是得心应手了~但是一旦出现了这个场景，你就也跟着崩溃了........
- 5个好看的图标网站，直接搜索下载
-
今天和大家分享5个图标网站，里面收录大量丰富的图标，在这里找到好图标不是什么难事。Iconsdbwww.iconsdb.com...
- 8个高清无版权的图片资源网站，质量高又免费，够你用一辈子
-
很多时候我们找素材总是要花费很多时间，今天就给大家分享8个，高清无版权的图片资源网站，质量高又免费，够你用一辈子。01*Logosc...
- 淘宝PPT设计师不会告诉你的4个网站!帮你剩下不少钱
-
之前的文章中，给各位推荐过图片素材网站，像：500px，unsplash等，也给各位推荐过图标网站，像阿里巴巴图标库。这些网站都很好用。但是，我最近发现，有一类素材网站，在做PPT时也会经常用到，...