| 来源 | 网关访问日志、OpenAPI 文档、App 与前端流量 |
|---|---|
| 产出 | 接口总表：方法/路径/认证/归属 |
| 重点 | 旧版本、内部接口、测试残留 |
核对步骤
核对步骤
1. 合并网关日志与文档形成候选清单
2. 与开发台账比对，标注未登记项
3. 对未登记项确认归属与生命周期（下线/整改）
4. 输出：影子接口清单与处置建议多版本 API 并存是常态：清单必须带版本维度，否则漏测面很大。
API 资产清单核对
接口管理是评估质量的根基：把网关日志、开发文档与流量样本三方合并，找出未纳管的“影子接口”。
易错点
- 只信开发给的文档清单，未与日志比对
- 忽略临时接口与调试端点的生命周期管理
数据来源与参考
- OWASP API Security Top 10（API9）
- OWASP WSTG（信息收集）