「短网址服务」安全测试清单

1. 输入校验与防注入

• SQL 注入

  • 在生成短链 API 中输入恶意 URL：https://abc.com' OR '1'='1
  • 在搜索接口传入注入语句：s.io/abc123' UNION SELECT ...
  • 预期：系统返回参数错误（100001），无数据泄露。

• XSS 攻击

  • 输入长链为：<script>alert(1)</script>
  • 前端展示时是否被执行。
  • 预期：系统对 URL 做转义，前端仅展示字符串，不执行脚本。

• HTML 注入

  • 自定义短码输入 HTML 标签：<b>shop</b>
  • 预期：保存失败，提示「短码不合法」。

2. 恶意短链检测

• 黑名单域名

  • 输入 URL 来自钓鱼域名 → 返回错误码 120003。

• 恶意内容检测

  • 测试接入 Google Safe Browsing / 腾讯网址安全服务。
  • 预期：恶意 URL 阻止生成短链。

3. 认证与鉴权

• 未登录访问

  • 尝试调用需要登录的 API（如 /api/list）。
  • 预期：返回 110004（Token 无效/过期）。

• 权限越权

  • 用户 A 尝试删除用户 B 的短链。
  • 预期：返回 110005（权限不足）。

• API Key 管理

  • 过期的 API Key 调用 → 返回 130001（Key 无效）。
  • 已删除的 Key 调用 → 返回 130001。
  • 短时间内高频调用 → 返回 130003（超限）。

4. 短链跳转安全

• 开放重定向

  • 确认跳转目标为 DB 中合法 URL，禁止拼接任意参数实现跳转。
  • 预期：禁止绕过生成流程直接构造跳转 URL。

• HTTPS 强制

  • 访问短链服务必须走 HTTPS（HSTS 生效）。
  • 预期：HTTP 请求自动跳转 HTTPS。

5. 数据安全

• 密码存储

  • 确认密码存储使用 BCrypt/Argon2，禁止明文或弱 Hash。

• 敏感数据泄露

  • API Key 在列表展示时应打码。
  • 返回日志中不得打印完整 Token 或密码。

• 数据库备份

  • 确认备份文件加密存储，访问控制严格。

6. 限流与防刷

• 接口限流

  • 短时间内高频调用 /api/shorten。
  • 预期：超过阈值返回 100002 / 130003，系统稳定。

• 验证码防护（可选）

  • 游客频繁生成短链时触发验证码机制。

7. CSRF 与跨域

• CSRF 测试

  • 模拟第三方网站发起 POST 请求到短链 API。
  • 预期：请求被拦截（Token 校验或 SameSite Cookie）。

• CORS 配置

  • 测试跨域访问接口。
  • 预期：仅允许白名单域名调用 API。

8. 文件与二维码安全

• 二维码生成

  • 确认返回的二维码内容仅包含短链，不包含恶意脚本。

• 下载安全

  • 确认下载文件类型为 image/png 或 image/svg+xml，避免 XSS。

9. 审计与日志

• 登录失败审计

  • 多次失败登录是否记录日志。

• 异常访问记录

  • 短链不存在、过期的访问是否记录。

• API Key 滥用记录

  • 超限/异常调用是否有报警机制。

测试工具

• SQL 注入/XSS：Burp Suite / OWASP ZAP / sqlmap
• 恶意 URL 检测：集成 Google Safe Browsing API
• 压力防刷：JMeter + Gatling
• CORS/CSRF：Postman + 自定义 JS 脚本

10. 深度威胁建模：STRIDE 与攻击面分析

短链服务看似功能单点，但攻击面覆盖了输入→处理→存储→跳转→展示全链路。用 STRIDE 框架系统拆解：

跳转环节是最易被忽视的放大攻击面。除校验目标 URL 是否在白名单外，还应配置以下安全响应头：

X-Content-Type-Options: nosniff
X-Frame-Options: DENY
Referrer-Policy: strict-origin-when-cross-origin
Content-Security-Policy: default-src 'self'

11. JWT 安全深度加固

API 层若采用 JWT 认证，以下检查项应纳入安全清单：

// Spring Security JwtDecoder 配置示例
@Bean
public JwtDecoder jwtDecoder() {
    NimbusJwtDecoder decoder = NimbusJwtDecoder
        .withJwkSetUri("https://auth.example.com/.well-known/jwks.json")
        .build();
    OAuth2TokenValidator<Jwt> withIssuer = JwtValidators.createDefaultWithIssuer("https://auth.example.com");
    OAuth2TokenValidator<Jwt> withAudience = new AudienceValidator("shortlink-api"); // 校验 aud
    decoder.setJwtValidator(withIssuer.and(withAudience));
    return decoder;
}

12. 高级限流与防刷策略

接口限流不仅是拦截高频调用，还应区分用户维度、接口维度和时间窗口：

Token Bucket 比固定窗口更平滑，允许少量突发：

@Component
public class RateLimiter {
    private final Map<String, AtomicInteger> buckets = new ConcurrentHashMap<>();
    private final int capacity = 10;  // 桶容量
    private final int refillRate = 5; // 每秒补充 5 个令牌

    public boolean allowRequest(String key) {
        AtomicInteger tokens = buckets.computeIfAbsent(key, k -> new AtomicInteger(capacity));
        int current = tokens.get();
        if (current > 0) {
            return tokens.decrementAndGet() >= 0;
        }
        return false; // 超过速率，拒绝请求
    }
}

生产环境推荐使用 Bucket4j 库配合 Redis 实现分布式限流，支持集群间共享令牌桶状态。

13. 应急响应标准流程（SOP）

一旦发生安全事件（如 API Key 泄露、大量恶意短链生成），应执行以下 SOP：

第 1 分钟：检测与确认
  ├── 监控告警触发（异常 QPS、错误率突增）
  └── 值班人员确认事件等级（P0/P1/P2）

第 5 分钟：遏制
  ├── 禁用泄露的 API Key（数据库标记 revoked_at）
  ├── 对涉事 IP 段封禁（WAF / 防火墙规则）
  └── 临时收紧限流阈值（全局 bucket 容量减半）

第 30 分钟：根除
  ├── 扫描并删除已生成的恶意短链（批量更新 status = BLOCKED）
  └── 通知下游黑名单服务（Google Safe Browsing）更新恶意 URL 库

第 2 小时：恢复
  ├── 撤销临时封禁
  └── 逐步恢复限流至正常水平

第 24 小时：复盘
  ├── 输出事件时间线（Timeline）
  ├── 更新威胁模型与防御规则
  └── 补充自动化检测（如新增异常模式监控指标）

14. 合规框架映射参考

📌 总结：
这份 安全测试清单 覆盖了：输入安全、认证授权、防注入、防刷、数据保护、日志审计、威胁建模进阶、JWT 深度加固、应急响应 SOP、合规框架映射。
配合之前的功能测试 、性能测试 ，可以形成完整的 DevSecOps 覆盖矩阵。