核查维度清单
核查维度清单
1. 鉴权：无凭据/低权限凭据访问高权限接口
2. 参数：类型边界、数组/对象结构、批量查询上限
3. 速率：大批量请求下的限流与降级行为
4. 数据暴露：响应字段是否超出业务需要（脱敏）
5. 版本与文档：旧版本接口是否仍在线、文档页是否暴露工具侧示例
工具侧示例
# ZAP 导入 OpenAPI 定义后按上下文扫描
# 或使用支持 OpenAPI 的扫描器导入后限速执行
# 关键：带上测试账号的鉴权头，并配置请求速率上限API 扫描对写操作要格外谨慎：确认测试环境的等价接口，避免在生产或共享环境产生脏数据。