API paljastab äriloogika otse, ilma liideseta, mis seda varem varjas. Identifikaatorid on nähtaval, välju, mida klientrakendus kunagi ei näita, võtab server ikkagi vastu, ja iga lõpp-punkt on ühe päringu kaugusel igaühest, kellel on token.
Töötame spetsifikatsiooni järgi, kui see on olemas, ja taastame selle liiklusest, kui seda ei ole. Iga lõpp-punkti kutsutakse välja iga rolli nimel, teiste kasutajate ja kliendikeskkondade identifikaatoritega, väljadega, mida see ei tohiks vastu võtta, ja järjekorras, mida töövoog ei eelda.
01Ulatus
Mida me testime
Objektitaseme autoriseerimine: juurdepääs teiste kasutajate ja kliendikeskkondade kirjetele
Funktsioonitaseme autoriseerimine: haldus- ja sisemised toimingud
Omadusetaseme autoriseerimine: massiline omistamine ja liigne andmete paljastamine
GraphQL: introspektsioon, sügavus ja keerukus, pakettpäringud, väljade autoriseerimine
gRPC ja WebSocket: meetodite autoriseerimine, sõnumite valideerimine, kanali kaaperdamine
Serveripoolne päringute võltsimine ja kolmandate osapoolte API-de ebaturvaline kasutamine
Inventuur: varjatud, iganenud ja silumiseks mõeldud lõpp-punktid, versioonide lahknemine
02Lähenemisviis
Kuidas töö käib
01
Inventuur
Võrdleme spetsifikatsiooni tegeliku liikluse ning mobiili- ja veebiklientidega. Loetleme lõpp-punktid, mis on olemas, kuid ei ole dokumenteeritud.
02
Autoriseerimismaatriks
Iga toimingut kutsutakse välja iga rolli sisselogimisandmetega teiste kasutajate ja kliendikeskkondade objektide suhtes. Tulemus on maatriks: mis on lubatud ja mis peaks olema lubatud.
03
Sisendi ja skeemi väärkasutus
Saadame välju, tüüpe ja struktuure, mida skeem ei eelda: lisaomadusi, pesastatud päringuid, liiga suuri pakette, vastuolulisi sisutüüpe.
04
Äriprotsesside väärkasutus
Toiminguid korratakse, nende järjekorda muudetakse ja neid käivitatakse paralleelselt, et leida võidujooksuolukordi ja protsesse, mida saab ettevõtte kahjuks automatiseerida.
Meil ei ole API dokumentatsiooni. Kas seda saab testida?
Jah. Taastame liidese teie klientrakenduste liikluse ja serveri käitumise põhjal. Puuduv dokumentatsioon on ise leid ning meie koostatud inventuur on aruande osa.
Mille poolest see erineb veebirakenduse testist?
Sihtmärk on süsteemidevaheline liides, mitte lehed, mida inimene näeb. Töö keskendub iga objekti ja toimingu autoriseerimisele, skeemidele ja automatiseeritud väärkasutusele, sest just sealt saavad alguse API-de kaudu toimuvad sissemurdmised.
Kas testite ka mikroteenuste vahelisi sisemisi API-sid?
Jah, teie määratud võrgupositsioonilt: internetist, partneri võrgust või klastri seest. Sisemised API-d usaldavad oma väljakutsujaid sageli rohkem, kui peaksid.