mcpField
A
api-security-testing

api-security-testing

github.com/davila7セキュリティ33.0k46 回インストール今日更新
リポジトリ

api-security-testing について

RESTおよびGraphQL APIのセキュリティを、発見、認証、認可、入力検証、レート制限、エラー処理にわたって評価するワークフローです。テストを段階別に整理し、問題の記録と修正提案の確認項目も含みます。

主な機能

  1. 01RESTとGraphQLのセキュリティテスト
  2. 02エンドポイントとパラメーターの発見
  3. 03認証と認可の確認
  4. 04入力検証とインジェクションテスト
  5. 05レート制限とエラー処理の確認
  6. 06問題記録と修正のチェックリスト

活用シーン

  1. 01REST APIのセキュリティ評価
  2. 02GraphQLエンドポイントのテスト
  3. 03API認証とアクセス制御の確認
  4. 04バグバウンティでのAPIテスト

インストール

コマンドをコピーしてターミナルで実行します。

$npx skills add https://github.com/davila7/claude-code-templates --skill api-security-testing

インストール後、Claude Code で/api-security-testingを入力して読み込まれたか確認します。

詳細

API セキュリティテストワークフロー

概要

認証、認可、レート制限、入力検証、および API 固有の脆弱性を含む、REST および GraphQL API のセキュリティテストに特化したワークフローです。

このワークフローを使用するタイミング

次のような場合にこのワークフローを使用します:

  • REST API のセキュリティをテストする場合
  • GraphQL エンドポイントを評価する場合
  • API 認証を検証する場合
  • API のレート制限をテストする場合
  • バグバウンティにおける API テストの場合

ワークフローのフェーズ

フェーズ 1: API の検出
呼び出すスキル
  • api-fuzzing-bug-bounty - API ファジング
  • scanning-tools - API スキャン
アクション
  1. エンドポイントを列挙する
  2. API メソッドを文書化する
  3. パラメータを特定する
  4. データフローをマッピングする
  5. ドキュメントを確認する
コピー&ペースト用プロンプト
Use @api-fuzzing-bug-bounty to discover API endpoints
フェーズ 2: 認証テスト
呼び出すスキル
  • broken-authentication - 認証テスト
  • api-security-best-practices - API 認証
アクション
  1. API キーの検証をテストする
  2. JWT トークンをテストする
  3. OAuth2 フローをテストする
  4. トークンの有効期限をテストする
  5. リフレッシュトークンをテストする
コピー&ペースト用プロンプト
Use @broken-authentication to test API authentication
フェーズ 3: 認可テスト
呼び出すスキル
  • idor-testing - IDOR テスト
アクション
  1. オブジェクトレベルの認可をテストする
  2. 機能レベルの認可をテストする
  3. ロールベースのアクセスをテストする
  4. 権限昇格をテストする
  5. マルチテナントの分離をテストする
コピー&ペースト用プロンプト
Use @idor-testing to test API authorization
フェーズ 4: 入力検証
呼び出すスキル
  • api-fuzzing-bug-bounty - API ファジング
  • sql-injection-testing - インジェクションテスト
アクション
  1. パラメータ検証をテストする
  2. SQL インジェクションをテストする
  3. NoSQL インジェクションをテストする
  4. コマンドインジェクションをテストする
  5. XXE インジェクションをテストする
コピー&ペースト用プロンプト
Use @api-fuzzing-bug-bounty to fuzz API parameters
フェーズ 5: レート制限
呼び出すスキル
  • api-security-best-practices - レート制限
アクション
  1. レート制限ヘッダーをテストする
  2. ブルートフォース対策をテストする
  3. リソース枯渇をテストする
  4. バイパス手法をテストする
  5. 制限事項を文書化する
コピー&ペースト用プロンプト
Use @api-security-best-practices to test rate limiting
フェーズ 6: GraphQL テスト
呼び出すスキル
  • api-fuzzing-bug-bounty - GraphQL ファジング
アクション
  1. イントロスペクションをテストする
  2. クエリの深さをテストする
  3. クエリの複雑さをテストする
  4. バッチクエリをテストする
  5. フィールドの候補表示をテストする
コピー&ペースト用プロンプト
Use @api-fuzzing-bug-bounty to test GraphQL security
フェーズ 7: エラーハンドリング
呼び出すスキル
  • api-security-best-practices - エラーハンドリング
アクション
  1. エラーメッセージをテストする
  2. 情報漏えいを確認する
  3. スタックトレースをテストする
  4. ログを検証する
  5. 検出事項を文書化する
コピー&ペースト用プロンプト
Use @api-security-best-practices to audit API error handling

API セキュリティチェックリスト

  • 認証が機能している
  • 認可が強制されている
  • 入力が検証されている
  • レート制限が有効である
  • エラーが無害化されている
  • ロギングが有効である
  • CORS が設定されている
  • HTTPS が強制されている

品質ゲート

  • すべてのエンドポイントがテストされている
  • 脆弱性が文書化されている
  • 修正策が提供されている
  • レポートが生成されている

関連ワークフローバンドル

  • security-audit - セキュリティ監査
  • web-security-testing - Web セキュリティ
  • api-development - API 開発

コメント

Markdown 対応