运用程序编程插口已变成网络攻击偏爱的总体目标。文中所列工具和服务平台(无论商业服务或是开源系统)可协助公司鉴别不正确、漏洞和管理权限分派过大等问题。
运用程序编程插口(API)是大部分当代程序流程和运用的核心一部分。实际上，云部署和移动智能终端都十分取决于API，假如无需API管理方法遍及各个地方的部件，云部署和移动智能终端都将成为泡影。很多大企业，尤其是这些有着很多线上业务流程的企业，乃至在其基础设施建设中置入了不计其数个API。API的增加只能再次加快。
API的精妙之处取决于，大部分API仅仅一小段编码，并且全部API在互联网资源要求领域都很精减，几乎没什么感觉。更妙的是，API还很灵便，即使所互动或操纵的程序流程产生变化，例如打上补丁包，API也可以再次运作并实行其具体作用。
但即便如此令人向往，API也具有自己的缺点。由于可将API设计方案成可以实行几乎全部每日任务，不论是持续反复的单一作用，或是精妙操纵各种各样程序流程或网站的高級实际操作，因此几乎没有规范来管理方法API的撰写。绝大部分API全是与众不同的，许多公司便是按照需求持续建立新的API。这对安全性精英团队而言可能是一场恶梦。
网络攻击看好API的另一方面是，许多API被给予了过量的管理权限。即使只实行极少数作用的API通常也具备几乎等同于管理人员的管理权限。其中念头是：API那麼小，能有多大害呢?网络黑客也不那么想了，她们会入侵API，随后运用这种管理权限/凭据搞事，例如数据泄漏，或是进一步渗入互联网。依据安全性企业阿卡迈开展的安全性科学研究，近75%的当代凭据进攻对于欠缺保护的API。
问题越来越严重。Gartner预测分析，2022年，全部网络信息安全类型中，涉及到API的漏洞将变成最多见的进攻方式。
API测试工具成保护神
重要互联网和程序流程部件被网络攻击看上就够槽糕的了，落到API的身上，状况却更为闹心，由于API的建立压根沒有规范可依。许多公司很有可能完全不清楚自身应用了是多少API，也不清楚这种API都是在干些哪些，或是有着多大的管理权限等级，更遑论API里是不是存有漏洞的问题了。
安全性领域和个人团队发布API测试工具和服务平台来协助处理这种问题。一些测试工具致力于实行单一作用，例如定量化特殊Docker API配备不合理的缘故。别的工具则对所有互联网采用更全方位的方式，检索API，随后给予有关API作用的信息内容，得出API很有可能存有漏洞或管理权限太多问题的根本原因。
现阶段有几个知名的商业服务API测试服务平台和很多完全免费或成本低的开源系统工具可储存。商业服务工具通常具备大量的适用选择项，而且可以根据云或是乃至做为服务项目开展远程控制部署。一些开源系统工具很有可能在功用上媲美商业服务工具，还具有来源于工具产品研发客户社群的适用。实际挑选哪种工具在于你的要求、企业IT精英团队的安全性专业技能与你的费用预算。
下边咱们列举目前市面上几种顶尖商业服务API测试工具以及关键作用，及其一部分出色的开源系统工具。
商业服务API测试工具与服务平台
APIsec
APIsec可看做是对于API的渗入测试工具。许多工具可以扫描仪用以脚本制作引入等典型性进攻的普遍漏洞，但APIsec重在测试总体目标API的各个方面，保证从关键互联网到浏览关键互联网的节点都可免于遭到API编码漏洞危害。
APIsec的一大优点是可以在API设计阶段就部署上。对搭建流程中的运用实行全方位扫描仪只要数分钟，但其結果可匹敌以往必须数日或几个星期才可以进行的旧式渗入测试。
AppKnox
AppKnox对选购并部署了其服务平台的客户帮助甚多。融合其便于应用的页面，AppKnox称得上沒有大中型安全性精英团队专业承担API的集团公司的满意挑选。AppKnox根据扫描仪精准定位在工作环境、节点或其他很有可能部署独到之处的API。精准定位后，客户可以挑选API递交，开展进一步的测试。
AppKnox测试全部很有可能造成API终断或被损坏的疑难问题，例如HTTP要求指令引入漏洞、跨站追踪和SQL引入漏洞。测试包含对Web服务端、数据库查询和云服务器上与API互动的任何部件的详细剖析。
实行了API扫描仪后，客户可将其测试結果递交给人们安全性研究者开展高級剖析，高級剖析全过程通常必须三到五天。
Data Theorem API Secure
Data Theorem API Secure平台致力于融入一切持续交付和持续交付/部署(CI/CD)自然环境，进而在研发的每一个环节和工作环境中为API给予连续的安全性。该解析器模块会不断搜索网，搜索新的API，并迅速鉴别未受权API或归属于企业身影IT的这些API。
解析器模块会全自动搜集全新的涉API漏洞信息内容，并持续测试其保障区域内的财产。Data Theorem API Secure本地自然环境和云环境都适用，可以保证沒有API会沦落全新危害的受害人。为维持CI/CD全过程清楚顺畅，Data Theorem API Secure给予自动修复所发现问题的作用，不用人工控制。如此一来，只需可以融入相对高度自动化技术，公司就可以保证常用API可抵挡全新的危害。
Postman
Postman彻底具有做为API测试工具的资质，但其更广为人知的称号则是打造出安全性API的整套协作平台。上百万Windows、Linux和iOS开发人员应用Postman并不是沒有缘由的。
Postman为开发人员给予了一整套API工具供设计方案新API应用，还为公司带来了可靠的储存库，让公司可以安心储存慢慢积累的编码。应用安全存储库可以保证以后的API从一开始就维持严谨的安全可靠和机构规范。
Postman给予的工作区域致力于协助开发人员机构本身工作中。假如运用编码逐渐偏移企业建立的安全性模版或包括潜在性漏洞，Postman还能够传出安全警告。那样就可以远早于问题进到工作环境以前防范于未然。
Smartbear ReadyAPI
除开安全性测试以外，Smartbear ReadyAPI服务平台还致力于提升API在一切自然环境中的运用和特性。Smartbear ReadyAPI适用一键实行API安全性剖析，也还兼容别的主要作用，例如查询API解决非预估负荷或需求量猛增的特性。
还能够配备ReadyAPI，令其转化成API需解决的特殊种类总流量。ReadyAPI还能够纪录即时API总流量，便于校正将来的测试，对于将之中运作的特有自然环境进行配备。除此之外，该网站可以导进几乎一切标准或方式，让消费者可以采用最受欢迎的协议书测试API。当地ReadyAPI适用Git、Docker、Jenkins、Azure DevOps、TeamCity等，且可早就在API发布以前运作于从研发到品质保证的每个自然环境。
Synopsis API Scanner
Synopsis API Scanner往往如此强劲，在其中一个缘故就取决于，除开安全性测试以外，该工具仍在其深层扫描仪与测试模块中结合了模糊不清测试。模糊测试模块向API推送不计其数的非预估键入、失效键入或任意键入，查询这种API的行为表现方法，或是观查其在碰到超大型数据或出现异常指令之类的事儿时是不是会奔溃。
该模块还可制作全部API的所有途径和逻辑性，包含全部适用的节点、主要参数、验证和标准。应用该模块，开发人员可以清晰地见到自身期待中API应当要实行的作用，与他们有时具体运行的作用中间，存有什么差别。这充分说明了为何API很有可能会遭受出现意外个人行为或安全性漏洞的危害。
开源系统API测试工具
虽然开源系统工具的适用通常比不上商业服务商品，有工作经验的开发人员依然可以很简单地部署这种开源系统工具(通常是免費的)，用于提高或提升其API的安全性。下边大家列举几种在开源项目深受青睐的API安全性测试工具。
Astra
Astra关键致力于表现情况迁移(REST)API。这种API因为常常持续转变，极为无法维护保养安全性。由于REST构架设计风格注重部件间互动的扩展性，伴随着時间的变化，维持REST API安全性很有可能很具趣味性。Astra的效应取决于协助集成化进CI/CD生产流水线，开展查验，保证普遍漏洞不容易涌向所说的安全性REST API中。
crAPI
crAPI是可以接入到目的系统软件并应用根手机客户端默认设置程序处理集给予基本上途径的极少数封装形式器之一，而且不用建立一切新联接就可以进行此实际操作。高級API开发人员可以之节约很多時间。
Apache JMeter
Apache JMeter显而易见是用Java编程的，最开始作为Web使用的负荷测试器，但近期拓展到几乎可以用以一切运用、程序流程或API。Apache JMeter精致的模块可以测试静态数据或动态性資源的特性。它可以很多转化成真正总流量的仿真模拟负荷，供开发人员发觉其API在工作压力下的主要表现。
Taurus
Taurus可以很便捷地将单独API测试程序转换为持续测试实际操作。从外表上看，Taurus简易实用。安裝好Taurus，建立一个环境变量，就可以让测试工具各尽其责了。再深层次了解一下，你能寻找转化成互动式汇报的方式，建立更繁杂的情景来测试API，还能够设定常见故障规范，进而可以马上进入并修补发觉的问题。