| 核查 | 认证覆盖、令牌生命周期、失败处理 |
|---|---|
| 方法 | 无凭据与失效凭据访问端点矩阵 |
| 修复 | 网关统一认证，例外清单化审批 |
验证步骤
验证步骤
1. 按接口清单无凭据访问（分别测读/写端点）
2. 用注销后的旧令牌重放只读请求
3. 记录放行的端点与响应（区分业务公开接口）
4. 核对管理/内部接口的独立认证公开接口（健康检查、静态资源）应列入白名单并在报告中说明，避免误判。
API 认证机制检查
接口认证方式核查：是否所有端点强制认证、令牌是否可撤销、认证失败是否统一处理，以及内部/管理接口是否例外暴露。
易错点
- 把所有匿名可访问端点都判为缺陷，未核对业务语义
- 只测一个端点，漏掉版本差异
数据来源与参考
- OWASP API Security Top 10（API2）
- OWASP ASVS V2