关于 api-security-testing
用于评估 REST 和 GraphQL API 安全性的工作流，涵盖发现、认证、授权、输入验证、速率限制和错误处理。它将测试分阶段组织，并包含记录问题和修复建议的检查项。
主要功能
- 01REST 与 GraphQL 安全测试
- 02发现端点和参数
- 03认证与授权检查
- 04输入验证和注入测试
- 05速率限制与错误处理检查
- 06问题记录与修复检查清单
适用场景
- 01评估 REST API 安全性
- 02测试 GraphQL 端点
- 03检查 API 认证和访问控制
- 04开展漏洞赏金 API 测试
安装
复制下面的命令，在终端中运行。
$
npx skills add https:/安装后在 Claude Code 中输入/api-security-testing确认已加载。
详细介绍
API 安全测试工作流
概述
用于测试 REST 和 GraphQL API 安全性的专业工作流，涵盖身份验证、授权、速率限制、输入验证和 API 特定漏洞。
何时使用此工作流
在以下情况下使用此工作流：
- 测试 REST API 安全性
- 评估 GraphQL 端点
- 验证 API 身份验证
- 测试 API 速率限制
- 进行漏洞赏金 API 测试
工作流阶段
阶段 1：API 发现
调用的技能
api-fuzzing-bug-bounty- API 模糊测试scanning-tools- API 扫描
操作
- 枚举端点
- 记录 API 方法
- 识别参数
- 绘制数据流
- 查看文档
可复制粘贴的提示词
Use @api-fuzzing-bug-bounty to discover API endpoints
阶段 2：身份验证测试
调用的技能
broken-authentication- 身份验证测试api-security-best-practices- API 身份验证
操作
- 测试 API 密钥验证
- 测试 JWT 令牌
- 测试 OAuth2 流程
- 测试令牌过期
- 测试刷新令牌
可复制粘贴的提示词
Use @broken-authentication to test API authentication
阶段 3：授权测试
调用的技能
idor-testing- IDOR 测试
操作
- 测试对象级授权
- 测试功能级授权
- 测试基于角色的访问控制
- 测试权限提升
- 测试多租户隔离
可复制粘贴的提示词
Use @idor-testing to test API authorization
阶段 4：输入验证
调用的技能
api-fuzzing-bug-bounty- API 模糊测试sql-injection-testing- 注入测试
操作
- 测试参数验证
- 测试 SQL 注入
- 测试 NoSQL 注入
- 测试命令注入
- 测试 XXE 注入
可复制粘贴的提示词
Use @api-fuzzing-bug-bounty to fuzz API parameters
阶段 5：速率限制
调用的技能
api-security-best-practices- 速率限制
操作
- 测试速率限制标头
- 测试暴力破解防护
- 测试资源耗尽
- 测试绕过技术
- 记录限制
可复制粘贴的提示词
Use @api-security-best-practices to test rate limiting
阶段 6：GraphQL 测试
调用的技能
api-fuzzing-bug-bounty- GraphQL 模糊测试
操作
- 测试内省
- 测试查询深度
- 测试查询复杂度
- 测试批量查询
- 测试字段建议
可复制粘贴的提示词
Use @api-fuzzing-bug-bounty to test GraphQL security
阶段 7：错误处理
调用的技能
api-security-best-practices- 错误处理
操作
- 测试错误消息
- 检查信息泄露
- 测试堆栈跟踪
- 验证日志记录
- 记录发现的问题
可复制粘贴的提示词
Use @api-security-best-practices to audit API error handling
API 安全检查清单
- 身份验证正常工作
- 已强制执行授权
- 已验证输入
- 已启用速率限制
- 已清理错误信息
- 已启用日志记录
- 已配置 CORS
- 已强制使用 HTTPS
质量门槛
- 已测试所有端点
- 已记录漏洞
- 已提供修复建议
- 已生成报告
相关工作流套件
security-audit- 安全审计web-security-testing- Web 安全api-development- API 开发
评论
支持 Markdown