APIShield — API 端点安全审计工具

APIShield 通过扫描您的 API 路由定义，检测多种安全漏洞，包括：缺失的身份验证中间件、限流机制缺失、输入验证漏洞、CORS 配置错误，以及暴露的调试端点。支持 Express、FastAPI、Flask、Django、Rails 和 Next.js 框架。所有扫描均在本地执行，基于正则表达式的模式匹配完成——**不向任何外部服务器发送代码**。

命令

免费版（无需许可证）

apishield scan [file|directory]

对 API 路由文件执行一次性安全审计。

执行方式：

bash "/scripts/apishield.sh" scan [target]

功能说明：

1. 接受文件路径或目录（默认为当前目录）
2. 自动识别框架（Express、FastAPI、Flask、Django、Rails、Next.js）
3. 查找所有路由定义文件（排除 .git/、node_modules/、dist/、build/、vendor/ 和 pycache 目录）
4. 对每个路由文件运行 20+ 项安全检查
5. 输出结果包含：文件路径、行号、检查项名称、严重等级、描述
6. 计算安全评分（0–100 分）
7. 免费版：最多扫描 5 个路由文件
8. 退出码为 0 表示评分 ≥ 70；退出码为 1 表示评分 < 70 或发现严重问题

典型使用场景示例：

• “扫描我的 API 路由是否存在安全问题” → 执行 apishield scan .
• “检查这个 Express 应用是否缺少身份验证” → 执行 apishield scan src/routes/
• “审计我的 FastAPI 端点” → 执行 apishield scan app/
• “我的 API 端点是否安全？” → 执行 apishield scan .

专业版（$19/用户/月 —— 需配置 APISHIELD_LICENSE_KEY）

apishield scan [file|directory]（无文件数量限制）

完整安全审计，不限制路由文件数量，启用全部 20+ 项检查。

执行方式：

bash "/scripts/apishield.sh" scan [target]

相较于免费版新增功能：

1. 支持无限量路由文件扫描
2. 完整启用全部 20+ 项安全检查，包括限流分析、CORS 验证、输入验证、CSRF 防护、SQL 注入风险检测等
3. 针对每项发现提供详细的修复建议

apishield hooks install

安装 Git 预提交钩子（pre-commit hook），在每次提交前自动扫描暂存区中的路由文件是否存在安全问题。

执行方式：

bash "/scripts/apishield.sh" hooks install

功能说明：

1. 校验专业版及以上许可证有效性
2. 将 lefthook 配置文件复制至项目根目录
3. 安装 lefthook 预提交钩子
4. 每次提交时：扫描暂存的路由文件（.js、.ts、.py、.rb），若发现严重问题则阻止提交

apishield hooks uninstall

移除 APIShield 的 Git 钩子。

bash "/scripts/apishield.sh" hooks uninstall

apishield report [directory]

生成 Markdown 格式的安全审计报告。

bash "/scripts/apishield.sh" report [directory]

功能说明：

1. 校验专业版及以上许可证有效性
2. 对指定目录执行完整扫描
3. 生成格式化 Markdown 报告，含各严重等级问题分布统计
4. 包含每个端点的具体问题、整体安全评分及修复步骤
5. 输出文件为 APISHIELD-REPORT.md

团队版（$39/用户/月 —— 需配置具备团队版权限的 APISHIELD_LICENSE_KEY）

apishield inventory [directory]

生成完整的 API 端点清单（目录式索引）。

bash "/scripts/apishield.sh" inventory [directory]

功能说明：

1. 校验团队版及以上许可证有效性
2. 在整个代码库中识别全部 API 端点
3. 记录信息包括：HTTP 方法、路径、框架、认证状态、限流配置、输入验证情况
4. 输出一个 Markdown 表格形式的端点总览
5. 适用于 API 文档编写与安全评审

apishield compliance [directory]

将检测结果映射至 OWASP Top 10 API 安全风险分类。

bash "/scripts/apishield.sh" compliance [directory]

功能说明：

1. 校验团队版及以上许可证有效性
2. 执行完整安全扫描
3. 将每一项发现映射到对应的 OWASP API 安全 Top 10 类别
4. 生成合规性报告，展示覆盖范围与缺失项
5. 涵盖类别包括：对象级授权失效（Broken Object-Level Auth）、认证失效（Broken Authentication）、过度数据暴露（Excessive Data Exposure）、资源与限流缺失（Lack of Resources & Rate Limiting）、功能级授权失效（Broken Function-Level Auth）、大规模赋值（Mass Assignment）、安全配置错误（Security Misconfiguration）、注入（Injection）、资产管理不当（Improper Asset Management）、日志记录不足（Insufficient Logging）

已检测的安全问题

APIShield 在 6 种主流框架上共检测 20+ 类安全问题：

配置

用户可在 ~/.openclaw/openclaw.json 中配置 APIShield：

{
  "skills": {
    "entries": {
      "apishield": {
        "enabled": true,
        "apiKey": "YOUR_LICENSE_KEY_HERE",
        "config": {
          "severityThreshold": "high",
          "excludePatterns": ["**/node_modules/**", "**/dist/**", "**/.git/**"],
          "reportFormat": "markdown"
        }
      }
    }
  }
}

重要说明

• 免费版开箱即用，无需任何配置（仅限扫描最多 5 个路由文件）
• 所有扫描均在本地完成 —— 不向任何外部服务器发送代码
• 许可证校验离线进行 —— 不发起“回传电话”（phone-home）或任何网络请求
• 支持 Express、FastAPI、Flask、Django、Rails 和 Next.js
• Git 钩子依赖 lefthook，需提前安装（详见上方安装说明）
• 退出码规范：0 = 安全（评分 ≥ 70）；1 = 存在问题（适用于 CI/CD 集成）

错误处理

• 若未安装 lefthook 而用户尝试执行 hooks install，提示用户安装 lefthook
• 若许可证密钥无效或已过期，显示清晰错误信息，并附链接 https://apishield.pages.dev/renew
• 若待扫描文件为二进制文件，则自动跳过，不发出警告
• 若目标路径中未发现任何路由文件，报告“扫描干净”，并附带提示信息
• 若无法自动识别框架，则尝试全部框架的匹配规则

适用场景

用户可能会提出如下请求：

• “扫描我的 API 路由是否存在安全问题”
• “检查我的端点是否启用了身份验证”
• “我的 Express 路由是否安全？”
• “审计我的 FastAPI 端点是否存在漏洞”
• “生成一份 API 安全报告”
• “检查是否存在 CORS 配置错误”
• “找出未配置限流的端点”
• “将我的 API 安全状况映射至 OWASP Top 10”
• “生成一份 API 端点清单”
• “在每次提交时自动执行安全检查”
• “检查我的路由中是否存在 SQL 注入风险”
• “找出已暴露的调试端点”