mcpField
A
api-security-review

api-security-review

github.com/owasp安全208526 次安装2 周前更新
代码仓库

关于 api-security-review

用于开展 API 安全评估的技能，涵盖端点发现、身份验证审查、OWASP API Top 10 测试和基础设施检查，并生成含证据的发现及优先修复建议。

主要功能

  1. 01从 OpenAPI 规范和代码发现端点
  2. 02审查 JWT、OAuth、API 密钥和会话
  3. 03覆盖 OWASP API Top 10 的检查
  4. 04自动化扫描器与载荷测试
  5. 05网关、WAF 和 TLS 配置审查
  6. 06基于证据的发现与修复计划

适用场景

  1. 01部署前审查 API
  2. 02排查身份验证与授权弱点
  3. 03评估 API 网关和基础设施设置

安装

复制下面的命令，在终端中运行。

$npx skills add https://github.com/owasp/secure-agent-playbook --skill api-security-review

安装后在 Claude Code 中输入/api-security-review确认已加载。

详细介绍

API 安全审查

按照 plays/api-security-review.md 进行全面的 API 安全评估。

步骤

  1. 发现与侦察

    • 解析 OpenAPI/Swagger 规范，或扫描代码以查找端点
    • 识别身份验证机制（JWT、OAuth 2.0、API 密钥、mTLS）
    • 梳理 API 网关和中间件配置
    • 列举所有 API 版本和已弃用的端点

  2. 深入检查身份验证

    • JWT 安全性（算法混淆、签名强度不足、令牌过期）
    • OAuth 2.0 流程（PKCE、state 参数、重定向 URI 验证）
    • API 密钥泄露及轮换策略
    • 会话管理和令牌存储

  3. 评估 OWASP API 的全部 10 项风险，并设计攻击场景：

    • API1 BOLA — 通过可预测的 ID 发起 IDOR 攻击、绕过批量端点、所有权验证缺失
    • API2 Broken Authentication — JWT 攻击、OAuth 缺陷、暴力破解、凭据填充
    • API3 BOPA — 批量赋值、响应信息过度暴露、绕过字段级授权
    • API4 Resource Consumption — 绕过速率限制、滥用分页、GraphQL 拒绝服务攻击
    • API5 BFLA — 发现管理员端点、水平或垂直权限提升
    • API6 Business Flows — 自动化滥用、耗尽库存、抓取攻击
    • API7 SSRF — 绕过 URL 验证、DNS 重绑定、访问云元数据
    • API8 Misconfiguration — 绕过 CORS、错误信息过于详细、缺少安全标头
    • API9 Inventory — 影子 API、僵尸端点、版本混淆
    • API10 Unsafe Consumption — XXE、反序列化、重放 Webhook 攻击

  4. 自动化测试

    • 运行 API 安全扫描器（OWASP ZAP、Burp Suite、Postman 测试）
    • 使用特定载荷测试常见漏洞
    • 验证速率限制和流量限制机制

  5. API 网关与基础设施审查

    • Kong、nginx、Envoy、AWS API Gateway 配置
    • WAF 规则及其绕过方式
    • TLS 配置和证书验证

输出

全面的 API 安全报告，包括：

  • API 攻击面清单及身份验证机制
  • 涵盖全部 10 个类别的风险矩阵及严重性评级
  • 包含概念验证示例的详细发现
  • 漏洞利用场景和业务影响分析
  • 按优先级排列的修复路线图及代码示例
  • 测试材料和漏洞证据

OWASP 参考资料

  • OWASP API Security Top 10 (2023)
  • OWASP ASVS v5.0 — V13：API 和 Web 服务
  • OWASP Testing Guide：WSTG-APIT
  • OWASP Cheat Sheet：REST 安全、GraphQL 安全、JWT 安全、OAuth 2.0

评论

支持 Markdown