Hadrian API 授权测试

要解决的授权测试痛点

API 授权缺陷（如 BOLA、BFLA、认证绕过）通常在测试阶段难以覆盖，尤其是多角色、多协议（REST/GraphQL/gRPC）场景。手动测试容易遗漏边界条件，且缺乏标准化流程，导致问题在上线后才暴露。

技能如何工作

核心能力：通过 YAML 定义角色与测试用例，自动执行授权路径验证。支持：

• 协议覆盖：REST、GraphQL、gRPC 的授权请求生成与校验。
• 缺陷检测：识别 BOLA（对象级授权失效）、BFLA（功能级授权失效）、认证绕过等典型问题。
• 配置驱动：依赖 roles.yaml 和 auth.yaml 描述角色权限与认证配置，测试逻辑与业务代码解耦。

关键步骤：

1. 准备目标 API 的端点定义与授权配置文件。
2. 编写 YAML 测试用例，描述角色、操作与预期结果。
3. 运行测试，获取授权路径的验证报告，定位失败用例。

适用边界与注意点

• 需要目标 API 的明确定义（端点、角色、认证方式），否则无法生成有效测试。
• 依赖 Hadrian 工具链（Go 环境或预编译二进制），需提前配置。
• AI 辅助功能（如攻击规划）需要外部 API Key（如 OPENAI_API_KEY），可选但影响测试深度。
• 不替代完整的安全审计，仅覆盖授权流程的自动化测试。