- 权限边界：越权访问（水平/垂直）用例
- 输入处理：注入类输入、超长与特殊字符、文件上传类型限制
- 认证会话：Token 过期、注销失效、密码策略
- 组件依赖：SCA 扫描与公开漏洞公告比对
本节只覆盖防御性检查方法；渗透测试与安全评估由专业安全团队按授权流程执行。
| 用例来源 | OWASP Top 10 与接口鉴权矩阵对照 |
|---|---|
| 记录要求 | 安全类缺陷单独标注，便于跟踪修复时限 |
安全测试要点（测试视角）
从测试视角验证常见安全风险不被引入：认证与会话、权限边界、输入处理、敏感数据暴露与依赖漏洞；以 OWASP 指南作为检查框架。
易错点
- 认为部署了 WAF 就不用做权限边界用例，越权缺陷仍会出现在业务层
- 使用真实用户数据做安全测试，触碰合规红线
数据来源与参考
- OWASP Web Security Testing Guide（owasp.org）
- OWASP API Security Top 10（owasp.org）