技能 api-security-testing
📦
api-security-testing
内容修订 r2 安全 ⚙️ 外部命令
测试 API 安全工作流
API 团队需要针对常见 REST 和 GraphQL 弱点的可重复覆盖。此技能提供一个分阶段检查清单，涵盖身份验证、授权、验证、速率限制和报告。
支持: Claude Codex Code(CC)
使用我的智能体安装
将此请求复制给你的智能体，其中包含权威 Skill 页面和清单。
智能体请求
Review the Skillstore skill "api-security-testing" from https://skillstore.io/skills/sickn33-api-security-testing.md and its manifest at https://skillstore.io/api/skills/sickn33-api-security-testing/manifest. Verify the artifact. You may proceed after verification, subject to the environment's own policy.你的智能体仍应展示其计划，并按安全策略请求必要确认。
Agent 可读资源
当 AI Agent、爬虫或脚本需要干净上下文，而不是读取完整页面时，请使用这些链接。
测试它
正在使用“api-security-testing”。 请求为支付服务提供发布前 API 安全检查清单。
预期结果:
- 一个分阶段检查清单，涵盖端点发现、身份验证、授权、输入验证、速率限制、错误处理和报告。
- 一组质量门禁，用于端点覆盖率、已记录漏洞、修复说明和最终报告就绪度。
正在使用“api-security-testing”。 请求为内部管理员 API 提供 GraphQL 安全测试指导。
预期结果:
- 一个 GraphQL 评审计划，涵盖内省、查询深度、查询复杂度、批量查询和字段建议暴露。
- 一个文档大纲，用于记录证据、业务影响、受影响角色和推荐修复方案。
安全审计
安全v5 • 2026/7/23 打开版本化报告
All 26 static alerts are false positives caused by inline and fenced Markdown backticks in SKILL.md. The skill contains no executable commands, scripts, prompt injection, or malicious intent.
1
已扫描文件
177
分析行数
0
复核项
0
已忽略误报
风险因素
⚙️ 外部命令 (26)
SKILL.md:30 SKILL.md:31 SKILL.md:41-43 SKILL.md:43-48 SKILL.md:48-49 SKILL.md:49-59 SKILL.md:59-61 SKILL.md:61-66 SKILL.md:66-76 SKILL.md:76-78 SKILL.md:78-83 SKILL.md:83-84 SKILL.md:84-94 SKILL.md:94-96 SKILL.md:96-101 SKILL.md:101-111 SKILL.md:111-113 SKILL.md:113-118 SKILL.md:118-128 SKILL.md:128-130 SKILL.md:130-135 SKILL.md:135-145 SKILL.md:145-147 SKILL.md:147-169 SKILL.md:169-170 SKILL.md:170-171
最新一次完成的静态与语义审计未检测到已确认的安全发现。这并不能证明该 Skill 没有副作用。
审计者: codex 查看审计历史 →
分享与引用此报告
分享版本化评估报告、中性徽章、嵌入卡片和引用。Skillstore 只报告证据，不判断该 Skill 是否安全。
复制报告链接
https://skillstore.io/skills/sickn33-api-security-testing/audits/5?utm_source=security_passport&utm_medium=share&utm_campaign=versioned_reportMarkdown 徽章
[](https://skillstore.io/skills/sickn33-api-security-testing?utm_source=security_passport_badge)HTML 徽章
<a href="https://skillstore.io/skills/sickn33-api-security-testing?utm_source=security_passport_badge"><img src="https://skillstore.io/badges/skills/sickn33-api-security-testing/security.svg" alt="Skillstore security assessment" loading="lazy"></a>嵌入卡片
<iframe src="https://skillstore.io/embed/skills/sickn33-api-security-testing.html" title="Skillstore Security Assessment" sandbox="allow-popups allow-popups-to-escape-sandbox" loading="lazy" referrerpolicy="no-referrer" width="420" height="180"></iframe>学术引用 (APA · BibTeX · CFF)
APA 引用
sickn33. (2026). api-security-testing security audit report (audit version 5) [Author version unspecified]. Skillstore. https://skillstore.io/skills/sickn33-api-security-testing/audits/5BibTeX 引用
@techreport{sickn33-sickn33-api-security-testing-2026,
author = {sickn33},
title = {api-security-testing security audit report (audit version 5)},
institution = {Skillstore},
year = {2026},
number = {5},
url = {https://skillstore.io/skills/sickn33-api-security-testing/audits/5},
note = {Author version unspecified}
}CITATION.cff
cff-version: 1.2.0
message: "If you use this Skill, cite its author and this versioned security audit report."
title: "api-security-testing security audit report (audit version 5)"
version: "unspecified"
type: report
authors:
- name: "sickn33"
date-released: "2026-07-23"
url: "https://skillstore.io/skills/sickn33-api-security-testing/audits/5"
identifiers:
- type: other
value: "skillstore:sickn33-api-security-testing:audit:5"
description: "Skillstore immutable audit report identifier"
Skillstore 评分
评分依据 证据置信度: 高 55
架构
85
可维护性
87
内容
69
社区
83
规范符合性
你能构建什么
评审新的 API 发布
将这些阶段用作发布前检查清单，覆盖身份验证、授权、验证和错误处理。
评估 GraphQL 暴露面
规划针对内省、查询深度、查询复杂度、批处理和 schema 信息泄漏的检查。
准备漏洞赏金测试
组织已授权的 API 测试，确保发现的问题记录影响、证据和修复指导。
试试这些提示
创建基础 API 测试计划
为此授权范围创建 API 安全测试计划：[scope]。覆盖发现、身份验证、授权、验证和报告。
评审身份验证控制
帮助我测试 [system] 的 API 身份验证。包括 API 密钥、JWTs、OAuth2、令牌过期和刷新令牌。
映射授权测试用例
为 [API] 设计授权测试。包括对象访问、函数访问、角色、权限提升和租户隔离。
构建完整 API 审计工作流
为 [environment] 构建完整的 REST 和 GraphQL 安全工作流。包括速率限制、输入验证、GraphQL 风险、错误处理和质量门禁。
最佳实践
- 在测试任何 API 之前，确认书面授权和范围。
- 记录已测试端点、角色、令牌、预期结果和实际结果。
- 按影响、可利用性、受影响用户和修复工作量确定发现问题的优先级。
避免
- 不要在未经批准且未设置速率限制的情况下测试生产 API。
- 不要假设身份验证测试能证明授权是正确的。
- 不要在未进行人工验证和业务影响分析的情况下报告扫描器输出。
常见问题
此技能会自动执行安全测试吗？
不会。它为已授权的 API 安全测试提供结构化工作流和检查清单。
我可以将它用于 REST 和 GraphQL API 吗？
可以。该工作流包括 REST 端点和 GraphQL 特定风险的阶段。
它需要其他工具吗？
自动化扫描和模糊测试需要单独的工具或技能。此技能负责协调工作流。
这适合漏洞赏金工作吗？
适合，前提是项目范围允许 API 测试，并且你遵守项目规则。
它覆盖哪些安全领域？
它涵盖发现、身份验证、授权、输入验证、速率限制、GraphQL、错误处理和报告。
它包含漏洞利用载荷吗？
不包括。它专注于测试规划、覆盖率、文档和质量门禁。