安全测试之接口返回内容遍历~

最近公司被人大量爬取数据，查了一下发现，用户主页接口，没有加用户登录校验，返回了用户的敏感信息有手机号和邮箱，其实这个接口是用不到这些信息的。再加上用户id是自增长的，所以很容易被别人爬取。

既然这个接口返回的敏感信息是不必要的，所以第一步：隐藏接口返回敏感信息。由开发完成。

反过来看，测试人员除了测试确保被暴露的接口修改返回信息，没有影响业务功能后，还能做什么呢？这个时候，接口自动化的重要性就体现了。

于是，写了一个遍历的方法，遍历项目里所有的接口返回是否包含敏感信息，如果有返回敏感信息，则返回接口URI，body及敏感字段名，方便判断是否必要调整。

之后在每个接口脚本调用这个方法，即可。最后在接口测试报告里找一下出错的接口，就可以直观的发现哪些接口存在安全隐患。如下面的测试报告，可以看到fail的用例，因为这个接口返回了mobile和email两个敏感信息。

行动吧，在路上总比一直观望的要好，未来的你肯定会感谢现在拼搏的自己！如果想学习提升找不到资料，没人答疑解惑时，请及时加入群： 786229024，里面有各种测试开发资料和技术可以一起交流哦。

最后： 下方这份完整的软件测试视频教程已经整理上传完成，需要的朋友们可以自行领取【保证100%免费】

软件测试面试文档

我们学习必然是为了找到高薪的工作，下面这些面试题是来自阿里、腾讯、字节等一线互联网大厂最新的面试资料，并且有字节大佬给出了权威的解答，刷完这一套面试资料相信大家都能找到满意的工作。