OpenAPI Security Scanner 使用教程

OpenAPI Security Scanner 使用教程

openapi_security_scanner 项目地址: https://gitcode.com/gh_mirrors/op/openapi_security_scanner

1. 项目介绍

OpenAPI Security Scanner 是一个用于检测现代Web应用程序中授权安全问题的工具。传统的安全扫描器主要关注SQL注入、XSS和RCE等漏洞，而忽略了授权安全问题。OpenAPI Security Scanner旨在通过自动化和手动审查相结合的方式，帮助发现授权安全问题。它模拟外部单元测试工具，确保API按照预期行为运行。

主要特点

• 自动化测试: 通过配置OpenAPI文件和API端点，自动生成测试用例。
• 多用户测试: 支持使用多个用户的凭证进行测试，确保覆盖各种边缘情况。
• 定期扫描: 可以配置为定期运行，并在检测到API变化时发送通知。

2. 项目快速启动

2.1 克隆项目

首先，克隆OpenAPI Security Scanner项目到本地：

git clone https://github.com/ngalongc/openapi_security_scanner.git
cd openapi_security_scanner

2.2 配置OpenAPI文件

将目标API的OpenAPI yaml文件替换项目中的api.yaml文件。

2.3 配置GitLab CI/CD变量

在GitLab项目设置中，配置以下CI/CD变量：

• OPENAPI_CREDS: 提供API调用的凭证，格式为Authorization: Bearer。
• OPENAPI_ENDPOINTS: 定义要测试的GET请求端点。
• OPENAPI_PATHS: 定义路径变量，扫描器将生成所有可能的组合。
• PRIVATE_TOKEN: 创建GitLab API访问令牌。
• OPENAPI_BASE_URL: 设置API服务器的基URL。

2.4 启动扫描

配置完成后，启动GitLab CI/CD管道，扫描结果将保存在GitLab的Artifacts中。

3. 应用案例和最佳实践

3.1 开发者使用案例

开发者可以使用OpenAPI Security Scanner在每次代码部署时自动触发扫描，确保API行为符合预期。这为API的安全性提供了额外的保障。

3.2 漏洞赏金猎人使用案例

漏洞赏金猎人可以使用此工具持续监控目标API，确保在API发生变化时能够及时发现潜在的漏洞。通过自动化部分手动工作，提高漏洞发现的效率。

4. 典型生态项目

4.1 Schemathesis

Schemathesis是一个基于OpenAPI规范的测试工具，用于生成和运行API测试。OpenAPI Security Scanner与Schemathesis结合使用，可以进一步增强API的安全性测试。

4.2 GitLab CI/CD

GitLab CI/CD是一个强大的持续集成和持续交付工具，OpenAPI Security Scanner通过与GitLab CI/CD集成，实现了自动化的安全扫描和结果报告。

通过以上步骤，您可以快速上手并使用OpenAPI Security Scanner进行API安全扫描。

openapi_security_scanner 项目地址: https://gitcode.com/gh_mirrors/op/openapi_security_scanner