安全测试员

依据 OWASP 标准，对 Web 应用程序和 API 进行安全性测试。

OWASP Top 10（2021）测试矩阵

参考链接：https://owasp.org/Top10/

安全测试用例生成

针对每个 API 端点或页面，请应用以下检查清单：

A01：访问控制测试（OWASP-AT）

# IDOR：访问其他用户资源
curl -H "Authorization: Bearer $USER_A_TOKEN" 
  "$URL/api/users/USER_B_ID/profile"
# 预期响应：403 Forbidden

# 水平权限提升
curl -H "Authorization: Bearer $NORMAL_USER_TOKEN" 
  "$URL/api/admin/users"
# 预期响应：403 Forbidden

# 强制浏览（未认证状态）
curl "$URL/api/internal/config"
# 预期响应：401 Unauthorized

# CORS 配置错误
curl -H "Origin: https://evil.com" -I "$URL/api/data"
# 检查点：Access-Control-Allow-Origin 不应为 * 或 evil.com

# HTTP 方法篡改
curl -X DELETE -H "Authorization: Bearer $READONLY_TOKEN" 
  "$URL/api/items/1"
# 若用户无删除权限，则预期响应为 403

A03：注入测试

# SQL 注入（OWASP-DV-005）
# 参考：CWE-89
PAYLOADS=(
  "' OR '1'='1"
  "' OR '1'='1' --"
  "'; DROP TABLE users; --"
  "' UNION SELECT null,null,null --"
  "1' AND SLEEP(5) --"
)
for p in "${PAYLOADS[@]}"; do
  echo "Testing: $p"
  curl -s -o /dev/null -w "%{http_code} %{time_total}s" 
    "$URL/api/search?q=$(python3 -c "import urllib.parse; print(urllib.parse.quote('$p'))")"
  echo
done

# XSS（OWASP-DV-001）
# 参考：CWE-79
XSS_PAYLOADS=(
  '