| 对象 | 用户、订单、设备、组织信息类接口 |
|---|---|
| 信号 | 含内部 ID、状态位、敏感字段 |
| 修复 | 响应按场景定义 DTO，最小字段集 |
检查步骤
检查步骤
1. 抓取关键接口的完整响应字段
2. 标注：UI 实际使用 / 未使用 / 敏感（证件号等）
3. 核对敏感字段的必要性与脱敏处理
4. 汇总字段清单与收敛建议过度暴露配合越权会把低危放大为批量泄露：两项目应联动检查。
API 过度数据暴露检查
接口返回超出前端需要的字段会放大数据泄露面：逐个检查响应字段，区分必要字段与内部字段。
易错点
- 只看前端渲染字段，忽略 JSON 里的附加内容
- 把调试字段判高危，未评估实际敏感度
数据来源与参考
- OWASP API Security Top 10（API3）