API安全审查指南：OWASP API十大风险检测与自动化测试工具

api-security-review by cmaenner/agent-security-playbook

1 周安装量

安装命令

npx skills add https://github.com/cmaenner/agent-security-playbook --skill api-security-review

🇨🇳中文介绍

按照 plays/tier1-code-analysis/api-security-review.md 执行全面的 API 安全评估。

发现与侦察
- 解析 OpenAPI/Swagger 规范或扫描代码以查找端点
- 识别身份验证机制（JWT、OAuth 2.0、API 密钥、mTLS）
- 映射 API 网关和中间件配置
- 枚举所有 API 版本和已弃用的端点
身份验证深入分析
- JWT 安全性（算法混淆、弱签名、令牌过期）
- OAuth 2.0 流程（PKCE、state 参数、重定向 URI 验证）
- API 密钥暴露和轮换策略
- 会话管理和令牌存储
评估所有 10 项 OWASP API 风险，并提供攻击场景：
- API1 BOLA — 通过可预测 ID、批量端点绕过、所有权验证缺失导致的 IDOR
- API2 身份验证失效 — JWT 攻击、OAuth 缺陷、暴力破解、凭据填充
- API3 BOPA — 大规模赋值、响应过度暴露、字段级授权绕过
- API4 资源消耗 — 速率限制绕过、分页滥用、GraphQL DoS
- API5 BFLA — 管理员端点发现、水平/垂直权限提升
- API6 业务逻辑缺陷 — 自动化滥用、库存耗尽、爬取攻击
- API7 SSRF — URL 绕过、DNS 重绑定、云元数据访问
- API8 配置错误 — CORS 绕过、详细错误信息、缺少安全标头

Perform comprehensive API security assessment following plays/tier1-code-analysis/api-security-review.md.

Discovery & Reconnaissance
- Parse OpenAPI/Swagger specs or scan code for endpoints
- Identify authentication mechanisms (JWT, OAuth 2.0, API keys, mTLS)
- Map API gateway and middleware configurations
- Enumerate all API versions and deprecated endpoints
Authentication Deep Dive
- JWT security (algorithm confusion, weak signing, token expiration)
- OAuth 2.0 flows (PKCE, state parameter, redirect URI validation)
- API key exposure and rotation policies
- Session management and token storage
Assess All 10 OWASP API Risks with attack scenarios:
- API1 BOLA — IDOR via predictable IDs, batch endpoint bypasses, ownership verification gaps
- API2 Broken Authentication — JWT attacks, OAuth flaws, brute force, credential stuffing
- API3 BOPA — Mass assignment, response over-exposure, field-level authz bypasses
- API4 Resource Consumption — Rate limit bypasses, pagination abuse, GraphQL DoS
- — Admin endpoint discovery, horizontal/vertical privilege escalation

广告位招租

在这里展示您的产品或服务

触达数万 AI 开发者，精准高效