繁中版 | 简中版 | العربية | Azərbaycan | বাংলা | Català | čeština | Deutsch | ελληνικά | Español | فاری | Français | हिंदी | อินโดนีเซีย Italiano | 日本語 | 한국어 | ພາສາລາວ | македонски | മലയാളം | монгол | Nederlands | Polski | Português (Brasil) | руский | ไทย | Türkçe | українська | tiếngviệt | ъгарски
รายการตรวจสอบการตอบโต้ความปลอดภัยที่สำคัญที่สุดเมื่อออกแบบทดสอบและปล่อย API ของคุณ
Basic Auth ใช้การรับรองความถูกต้องมาตรฐานแทน (เช่น JWT) Authentication token generation password storage ใช้มาตรฐาน Max Retry และคุกในการเข้าสู่ระบบ JWT Secret ) เพื่อให้เดรัจฉานบังคับให้โทเค็นแข็งมาก HS256 หรือ RS256 ) TTL , RTTL ) ให้สั้นที่สุด HSTS กับ SSL เพื่อหลีกเลี่ยงการโจมตีแถบ SSL redirect_uri Server เสมอเพื่อให้สามารถใช้ URL ที่ปลอดภัยเท่านั้น response_type=token ) state ด้วยแฮชแบบสุ่มเพื่อป้องกัน CSRF ในกระบวนการอนุญาต OAUTH GET (read) , POST (create) , PUT/PATCH (replace/update) และ DELETE (to delete a record) และตอบกลับด้วย 405 Method Not Allowed หากวิธีการร้องขอไม่ได้ ไม่เหมาะสมสำหรับทรัพยากรที่ร้องขอ content-type ตามคำขอ ACCENCTER (การเจรจาต่อรองเนื้อหา) เพื่ออนุญาตเฉพาะรูปแบบที่รองรับของคุณ (เช่น application/xml , application/json ฯลฯ ) และตอบกลับด้วยการตอบกลับ 406 Not Acceptable หากไม่ตรงกัน content-type ของข้อมูลที่โพสต์ตามที่คุณยอมรับ (เช่น application/x-www-form-urlencoded , multipart/form-data , application/json ฯลฯ ) XSS , SQL-Injection , Remote Code Execution ฯลฯ ) credentials Passwords security tokens หรือ API keys ) ใน URL แต่ใช้ส่วนหัวการอนุญาตมาตรฐาน Quota , Spike Arrest หรือ Concurrent Rate Limit ) และปรับใช้ทรัพยากร APIS แบบไดนามิก /me/orders แทน /user/654321/orders UUID แทน XXE (การโจมตีเอนทิตีภายนอก XML) Billion Laughs/XML bomb ผ่านการโจมตีขยายเอนทิตีเลขชี้กำลัง X-Content-Type-Options: nosniff X-Frame-Options: deny ส่วนหัว Content-Security-Policy: default-src 'none' X-Powered-By , Server , X-AspNet-Version ฯลฯ content-type สำหรับการตอบกลับของคุณ หากคุณส่งคืน application/json การตอบกลับ content-type ของคุณคือ application/json credentials passwords หรือ security tokens 200 OK , 400 Bad Request , 401 Unauthorized , 405 Method Not Allowed ฯลฯ ) อย่าลังเลที่จะมีส่วนร่วมโดยการหาที่เก็บนี้ทำการเปลี่ยนแปลงบางอย่างและส่งคำขอดึง สำหรับคำถามใด ๆ ส่งอีเมลถึงเราที่ [email protected]
