【网络安全】Trpc 视角下的现代 API 漏洞挖掘研究

未经许可，不得转载。

前言

在这篇文章中，我将讨论我对 tRPC 的研究。首先，我们将回顾 tRPC 的概念，然后再分析 tRPC 应用的攻击面。

正文

从开发者的视角看tRPC

tRPC 代表 “TypeScript Remote Procedure Call”（TypeScript 远程过程调用），它利用 TypeScript 的能力确保客户端和服务器之间的类型安全。这意味着 tRPC 允许开发者创建 API，并在输入和输出时自动进行类型检查，从而显著降低由于数据类型不匹配或意外数据结构导致的运行时错误。让我们以开发者的视角来了解它的工作原理。

1. API 定义

作为开发者，我们需要在服务器上使用 TypeScript 定义 API，明确指定代表 API 端点的函数的输入和输出类型。在 tRPC 中，这些函数被称为 “过程”（Procedures），它们可以执行各种操作，例如获取数据（查询，Queries）以及创建、删除和更新数据（变更，Mutations）。

2. 定义路由（Routers）

在服务器端，过程（Procedures）被组织到 路由（Routers）<