对于接口的安全性测试，这几点你掌握了吗？

淩亂°似流年 2024-05-23 18:37 72阅读 0赞

![5ed80d7da6904639a76a02864c8beec2.png][]

[2024软件测试面试刷题，这个小程序（永久刷题），靠它快速找到工作了！（刷题APP的天花板）\_软件测试刷题小程序-CSDN博客文章浏览阅读3k次，点赞86次，收藏13次。你知不知道有这么一个软件测试面试的刷题小程序。里面包含了面试常问的软件测试基础题，web自动化测试、app自动化测试、接口测试、性能测试、自动化测试、安全测试及一些常问到的人力资源题目。最主要的是他还收集了像阿里、华为这样的大厂面试真题，还有互动交流板块……\_软件测试刷题小程序编辑https://blog.csdn.net/AI\_Green/article/details/134931243?spm=1001.2014.3001.5502编辑https://blog.csdn.net/AI\_Green/article/details/134931243?spm=1001.2014.3001.5502编辑https://blog.csdn.net/AI\_Green/article/details/134931243?spm=1001.2014.3001.5502https://blog.csdn.net/AI\_Green/article/details/134931243?spm=1001.2014.3001.5502https://blog.csdn.net/AI\_Green/article/details/134931243?spm=1001.2014.3001.5502https://blog.csdn.net/AI\_Green/article/details/134931243?spm=1001.2014.3001.5502编辑https://blog.csdn.net/AI\_Green/article/details/134931243?spm=1001.2014.3001.5502https://blog.csdn.net/AI\_Green/article/details/134931243?spm=1001.2014.3001.5502![icon-default.png?t=N7T8][icon-default.png_t_N7T8]https://blog.csdn.net/AI\_Green/article/details/134931243?spm=1001.2014.3001.5502][2024_APP_-CSDN_3k_86_13_web_app_https_blog.csdn.net_AI_Green_article_details_134931243_spm_1001.2014.3001.5502_https_blog.csdn.net_AI_Green_article_details_134931243_spm_1001.2014.3001.5502_https_blog.csdn.net_AI_Green_article_details_134931243_spm_1001.2014.3001.5502https_blog.csdn.net_AI_Green_article_details_134931243_spm_1001.2014.3001.5502https_blog.csdn.net_AI_Green_article_details_134931243_spm_1001.2014.3001.5502https_blog.csdn.net_AI_Green_article_details_134931243_spm_1001.2014.3001.5502_https_blog.csdn.net_AI_Green_article_details_134931243_spm_1001.2014.3001.5502https_blog.csdn.net_AI_Green_article_details_134931243_spm_1001.2014.3001.5502_icon-default.png_t_N7T8_icon-default.png_t_N7T8_https_blog.csdn.net_AI_Green_article_details_134931243_spm_1001.2014.3001.5502]

## **接口防刷** ##

##### **1.为什么会有人要刷接口？** #####

*  牟利：黄牛在 12306 网上抢票再倒卖。
 *  恶意攻击竞争对手：如短信接口被请求一次，会触发几分钱的运营商费用，当量级大了也很可观。
 *  压测：用apache bench 做压力测试。

##### **2.什么行为判定为刷接口？** #####

*  次数多
 *  频率频繁，可能 1 秒上千次
 *  用户身份难以识别：可能会在刷的过程中随时换浏览器或者 ip

##### **3.如何判断用户粒度** #####

根据当前网页

*  缺点：没有任何意义，一刷新页面用户的身份就变了

根据session

*  缺点：当用户手动清除 cookie 的时候即失效

根据ip

*  优点：伪造成本高
 *  缺点：要考虑一个公司、一个小区的人一般会共享一个 ip，所以适当的要放宽对单一 ip 的请求限制

> <table> 
>  <tbody> 
>   <tr> 
>    <td style="vertical-align:top;"> <p>ip 信息是存在请求头里的，而 https 对请求本身做了加密，可以防止 ip 信息被伪造或篡改。所以推荐服务器采用https传输。</p> </td> 
>   </tr> 
>  </tbody> 
> </table>

## **如何处理恶意请求** ##

###### **1. 业务逻辑上拒绝该用户参与** ######

*  例如限制用户登录，用户必须达到一定条件才可以（任务限制，金额限制，参与次数限制）

###### **2.奖励发放的限制** ######

*  奖励每天发放次数限制，奖励每天发放总量限制，用户每天参与次数限制，用户每天获取总量限制

###### **3.IP频率限制** ######

通过 memcached 和 redis 都有成熟的方案。

> <table> 
>  <tbody> 
>   <tr> 
>    <td style="vertical-align:top;"> <p>Memcached教程:</p> <p>https://www.runoob.com/memcached/memcached-tutorial.html</p> </td> 
>   </tr> 
>  </tbody> 
> </table>

###### **4. 验证码&短信限制** ######

可以通过要求用户输入验证码or短信验证码验证用户真实性，但是也要保证短信接口不会被刷。

*  优点：可以精准识别请求是真人还是机器发出的，二次筛选出真正的用户
 *  缺点：不够人性化，用户操作时间长、体验差

###### **5.用户权限判断** ######

基础的用户行为分析，就是结合业务逻辑，在代码实现层面对进行完善的用户权限判断。

> 从代码层次限制用户

###### **6.防范XSS、CSRF、SQL注入攻击** ######

这是常见的WEB接口安全防范手段，XSS、CSRF、SQL注入，对参数过滤转义，表单验证等等。

###### **7.人工干预** ######

以上方法需要结合使用才能提高安全和破解的难度，单独使用都有很容易破解的方法，除此之外，人工干预也是很重要的，一定要在后台观察数据，及时发现异常的数据并排查隐患。

行动吧，在路上总比一直观望的要好，未来的你肯定会感谢现在拼搏的自己！如果想学习提升找不到资料，没人答疑解惑时，**请及时加入群： 759968159**，里面有各种测试开发资料和技术可以一起交流哦。

**最后：** 下方这份完整的软件测试视频教程已经整理上传完成，需要的朋友们可以自行领取**`【保证100%免费】`**

![06b7bc1a690d4c4f826248342215214c.png][]

**软件测试面试文档**

我们学习必然是为了找到高薪的工作，下面这些面试题是来自阿里、腾讯、字节等一线互联网大厂最新的面试资料，并且有字节大佬给出了权威的解答，刷完这一套面试资料相信大家都能找到满意的工作。![在这里插入图片描述][cc56d6ee4baf482688db0e1410e2bb51.png]

![在这里插入图片描述][755123cb1321421b96888db976754489.png]

![3010ebc19b1042d4a4e99e0c9334bb1c.gif][]

[5ed80d7da6904639a76a02864c8beec2.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/05/23/f73b09a0c55b45c7802211871ded1bec.png
[icon-default.png_t_N7T8]: https://csdnimg.cn/release/blog_editor_html/release2.3.6/ckeditor/plugins/CsdnLink/icons/icon-default.png?t=N7T8
[2024_APP_-CSDN_3k_86_13_web_app_https_blog.csdn.net_AI_Green_article_details_134931243_spm_1001.2014.3001.5502_https_blog.csdn.net_AI_Green_article_details_134931243_spm_1001.2014.3001.5502_https_blog.csdn.net_AI_Green_article_details_134931243_spm_1001.2014.3001.5502https_blog.csdn.net_AI_Green_article_details_134931243_spm_1001.2014.3001.5502https_blog.csdn.net_AI_Green_article_details_134931243_spm_1001.2014.3001.5502https_blog.csdn.net_AI_Green_article_details_134931243_spm_1001.2014.3001.5502_https_blog.csdn.net_AI_Green_article_details_134931243_spm_1001.2014.3001.5502https_blog.csdn.net_AI_Green_article_details_134931243_spm_1001.2014.3001.5502_icon-default.png_t_N7T8_icon-default.png_t_N7T8_https_blog.csdn.net_AI_Green_article_details_134931243_spm_1001.2014.3001.5502]: https://blog.csdn.net/AI_Green/article/details/134931243?spm=1001.2014.3001.5502
[06b7bc1a690d4c4f826248342215214c.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/05/23/ed167745d9e744939b249d6c20d81829.png
[cc56d6ee4baf482688db0e1410e2bb51.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/05/23/c856cd3a37894fa396a221dfe51003df.png
[755123cb1321421b96888db976754489.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/05/23/8dedb0aae2b94d30ba0f41853261c93d.png
[3010ebc19b1042d4a4e99e0c9334bb1c.gif]: https://image.dandelioncloud.cn/pgy_files/images/2024/05/23/6720ca66cf294f31853875ab6ad9c69e.gif