安全测试要点（测试视角）
从测试视角验证常见安全风险没有被引入：认证与会话管理、权限边界、输入处理、敏感数据暴露与依赖漏洞。以 OWASP 指南作为检查框架，把安全用例并入日常回归，而不是等上线前做一次集中检查。本文覆盖的是防御性检查方法；渗透测试与安全评估应由专业安全团队按授权流程执行。
常规检查维度
- 权限边界：越权访问（水平/垂直）用例，换 ID 换角色逐项验证。
- 输入处理：注入类输入、超长与特殊字符、文件上传类型限制。
- 认证会话：Token 过期、注销失效、密码策略、错误提示不泄露细节。
- 组件依赖：SCA 扫描与公开漏洞公告比对，及时升级。
- 敏感数据：响应中不返回多余字段，日志不落敏感信息。
- 传输与存储：传输加密、敏感字段脱敏存储的核对。
基本信息
| 用例来源 | OWASP Top 10 与接口鉴权矩阵对照 |
|---|---|
| 记录要求 | 安全类缺陷单独标注，便于跟踪修复时限 |
| 执行时机 | 新功能评审时过清单，每版本回归越权与注入用例 |
| 协作边界 | 渗透测试与安全评估由专业团队按授权流程执行 |
| 常用工具 | SAST/DAST/SCA 扫描加人工用例验证 |
输入侧检查示例
输入侧检查示例
curl -s 'https://api.example.com/search?q=<script>alert(1)</script>'
# 预期：原样回显应按上下文转义，不能直接执行
curl -s 'https://api.example.com/items?sort=1;DROP TABLE --'
# 预期：拒绝非法排序字段，返回 400 而非数据库错误详情本节只覆盖防御性检查方法；渗透测试与安全评估由专业安全团队按授权流程执行。
错误信息也是攻击面：堆栈、SQL 片段与内部路径不应出现在生产响应里，测试要专门断言错误体的「去细节化」。
安全测试要用脱敏或仿真数据；使用真实用户数据做越权与注入测试，可能触碰合规红线。