安全测试

安全测试 验证系统能否抵御未授权访问、注入、敏感数据泄露等威胁。对照 /roadmaps/qa「Security Testing」节点，本课基于 OWASP Top 10 讲解鉴权测试与漏洞扫描入门。

学习目标

• 了解 OWASP Top 10 中与 API/Web 最相关的条目
• 设计鉴权、授权、会话相关的测试用例
• 区分 DAST、SAST、依赖扫描的角色
• 将安全测试嵌入 Spring Boot 与 CI 流程

核心概念

OWASP 重点（Web/API）

风险	测试要点
失效的访问控制	水平/垂直越权：改 ID 访问他人资源
注入	SQL、命令、模板注入；参数化查询
敏感数据暴露	HTTPS、日志脱敏、错误信息不泄露栈
安全配置错误	默认账号、调试端点生产暴露
SSRF	服务端请求用户可控 URL

鉴权测试用例

TC-SEC-001: 未登录访问 /admin → 401/403
TC-SEC-002: 普通用户访问他人 profile → 403
TC-SEC-003: JWT 过期 → 401 + 无敏感 body
TC-SEC-004: 重复 Content-Type 边界（文件上传）

扫描工具

• OWASP ZAP：代理被动/主动扫描 Web
• Burp Suite：手工 + 自动化渗透辅助
• SAST：SonarQube、SpotBugs 静态规则
• 依赖扫描：OWASP Dependency-Check、npm audit、Dependabot

扫描结果需 人工 triage，避免误报淹没真漏洞。

安全测试节奏

• 每个 PR：依赖扫描、SAST 规则
• 发布前：鉴权回归 + ZAP 基线扫描
• Periodic：渗透测试、红队演练（成熟团队）

与 testing-essentials/Spring 对照

安全测试	Spring 实践
越权 API	MockMvc + 不同角色 token（test-mockmvc）
Security 配置	Spring Security、@PreAuthorize、sb-test
CI 依赖扫描	test-ci、gha-java

功能测试断言 200；安全测试必须断言 403/401 与 无数据泄露。单元测试无法替代 DAST，但可覆盖权限分支逻辑。

练习

• 为 tracks API 设计 3 条越权测试用例