Edge Security Acceleration:Validasi kepatuhan skema API

Analisis permintaan yang tidak sesuai

Setelah mengonfigurasi validasi skema, ESA terus memantau permintaan API. Di tab Schema Validation, klik ikon filter di bilah alat daftar API dan pilih skema untuk memfilter daftar tersebut. ESA kemudian menampilkan API yang cocok, dan kolom Non-compliant requests menunjukkan jumlah permintaan yang tidak sesuai dalam 24 jam terakhir.

Permintaan yang tidak sesuai dapat disebabkan oleh masalah berikut:

• Kesalahan sisi client: Client yang sah mungkin mengirim permintaan yang salah format, seperti format parameter yang tidak tepat (misalnya, mengirim data form ketika JSON diperlukan), parameter yang diperlukan tidak ada, atau ketidaksesuaian tipe (misalnya, mengirim string untuk bidang boolean). Jika hal ini terjadi, tinjau desain antarmuka depan Anda dan tambahkan deteksi kesalahan, prompt pengiriman, serta pengamanan serupa.

• Serangan berbahaya: Penyerang sering mengirim permintaan yang salah format untuk mencari celah keamanan seperti injeksi dan serangan brute-force. Lonjakan mendadak pada permintaan yang tidak sesuai dapat mengindikasikan adanya serangan yang sedang berlangsung. Jika Anda mencurigai adanya serangan, ubah aksi menjadi Block dan konfigurasikan aturan WAF yang lebih ketat.

Analisis API tanpa skema

Setelah berhasil mengunggah file skema, API yang sesuai dengan skema akan secara otomatis ditautkan dengannya. Di tab Schema Validation, di kolom APIs without Schema, klik tombol Filter untuk melihat daftar API tanpa skema.

Untuk API tanpa skema, ESA tidak dapat menghitung permintaan yang tidak sesuai, sehingga menciptakan celah keamanan potensial. API mungkin tidak memiliki skema karena alasan berikut:

• Tidak dimasukkan dalam skema: API tersebut tidak termasuk dalam file skema yang Anda unggah. Periksa path API, host, dan metode HTTP di daftar tersebut, lalu perbarui file skema Anda dan unggah kembali.

• Desain API tidak standar: API yang ditemukan tidak mengikuti praktik desain standar, sehingga tidak dapat dicocokkan dengan skema Anda. Anda mungkin perlu merefaktor API tersebut. Masalah umum meliputi:

  • Path tidak standar: Path API salah. Misalnya, entri paths yang benar adalah /users, tetapi didefinisikan sebagai /user.

  • Penyalahgunaan metode HTTP: Metode tidak mengikuti konvensi semantik. Misalnya, menggunakan metode GET untuk aksi destruktif seperti /users/delete/123 alih-alih DELETE.

  • Penyalahgunaan kode status: Kode status respons API salah. Misalnya, semua respons mengembalikan 200 OK, dan status sebenarnya dikembalikan dalam badan respons, seperti { "responses": "500" }.

  • Struktur I/O membingungkan: Data input atau output salah. Misalnya, bidang email yang seharusnya berada di input justru ditempatkan di output.

Tipe dan ukuran

File validasi skema harus dalam format .yml, .yaml, atau .json. Ukuran maksimum file adalah 58 KB. Jika file skema Anda terlalu besar, Anda dapat menggunakan format .json dan mengompres file tersebut secara lokal sebelum mengunggahnya.

Konten skema

Contoh

Berikut ini adalah contoh file skema .json.

{
    "openapi": "3.0.0",
    "info": {
        "title": "example",
        "description": "example",
        "version": "1.0"
    },
    "servers": [
    {
      "url": "https://example1.aliyun.com",
      "description": "example1 url"
    },
    {
      "url": "https://example2.aliyun.com",
      "description": "example2 url"
    }
    ],
    "components": {
        "schemas": {
            "ParamsObject": {
                "type": "object",
                "properties": {
                    "id": {
                        "type": "integer"
                    },
                    "value": {
                        "type": "string"
                    }
                },
                "required": [
                    "id",
                    "value"
                ]
            }
        }
    },
    "paths": {
        "/example/{param1}": {
            "get": {
                "operationId": "getexampleById",
                "parameters": [
                    {
                        "name": "param1",
                        "in": "path",
                        "required": true,
                        "description": "id",
                        "schema": {
                            "type": "integer",
                            "format": "int32"
                        }
                    }
                ]
            }
        },
        "/api1": {
            "post": {
                "operationId": "post_api1",
                "summary": "post api1 request",
                "parameters": [],
                "requestBody": {
                    "required": true,
                    "content": {
                        "application/json": {
                            "schema": {
                                "$ref": "#/components/schemas/ParamsObject"
                            }
                        }
                    }
                }
            },
            "get" :{
                "operationId": "get_api1",
                "summary": "get api1 request",
                "parameters": [
                    {
                        "name": "id",
                        "in": "query",
                        "required": true,
                        "schema": {
                            "type": "integer",
                            "format": "int32"
                        }
                    },
                    {
                        "name": "name",
                        "in": "query",
                        "required": false,
                        "schema": {
                            "type": "string"
                        }
                    }
                ]
            }
        }
    }
}