API安全测试要点（下）

欢迎关注公众号：WeTester测试园，获取更多内容

四．信息泄露

通过抓包，检查所请求的接口返回的数据，看有没有包含可利用的字段

关键参数是否加密：比如登陆接口的用户名和密码是否加密 ；支付接口中，涉及用户的身份证号码、银行卡卡号、银行卡CVV码等之类的信息有无加密

如果有使用第三方接口，也要检测第三方接口是否会泄露用户信息

还有错误请求返回不包含敏感信息，如当用户登录失败的时候，不能明确指出是密码错误或者用户不存在，预防暴力撞破用户名或者密码

五．HTTP 响应头控制

发送 X-Content-Type-Options: nosniff 头.

发送 X-Frame-Options: deny 头.

发送 Content-Security-Policy: default-src 'none' 头.

删除指纹头 - X-Powered-By, Server, X-AspNet-Version 等等.

在响应中强制使用 content-type, 如果你的类型是 application/json 那么你的 content-type 就是 application/json.

不要返回敏感的数据, 如 credentials, Passwords, security tokens.

在操作结束时返回恰当的状态码. (如 200 OK, 400 Bad Request, 401 Unauthorized, 405 Method Not Allowed 等等).

六．服务端配置漏洞

如服务端版本信息泄露，或服务端程序本身存在漏洞等。