Edge Security Acceleration:API スキーマ検証

非準拠リクエストの分析

有効にすると、API Security はスキーマコンプライアンスについてリクエストを継続的に監視します。[Schema Validation] タブでは、スキーマでフィルターして、過去 24 時間の各 API の非準拠リクエストの数を確認できます。

非準拠リクエストの増加は、主に 2 つの問題を示している可能性があります。

• クライアント側のエラー: 正当なクライアントが不正な形式のリクエストを送信している可能性があります。これは、フロントエンドコードのバグ、不正なパラメーターフォーマット (例: JSON の代わりにフォームデータ)、必須パラメーターの欠落、またはデータ型の不一致 (例: boolean の代わりに文字列) が原因である可能性があります。クライアント側の実装を確認し、より厳密な入力検証を追加することを検討してください。

• 攻撃の動作: 攻撃者は、SQL インジェクション、クロスサイトスクリプティング (XSS)、または壊れたアクセスの制御などの脆弱性を探るために、不正な形式のリクエストを送信することがよくあります。非準拠リクエストの急増は、攻撃の兆候である可能性があります。攻撃が疑われる場合は、アクションを変更してブロックし、より厳格な WAF ルールを設定してください。

スキーマのない API の処理

スキーマをアップロードした後、一部の API は関連付けられないままになることがあります。[Schema Validation] タブで、[APIs Without A Schema] 列の数字をクリックして、これらのエンドポイントのリストを表示します。

スキーマのないエンドポイントは検証されないため、潜在的なセキュリティギャップが生じます。API が一致しない主な理由は 2 つあります。

• スキーマからの省略: API が誤ってスキーマファイルから除外されました。リストで API のパス、ホスト、および HTTP メソッドを確認し、スキーマファイルを更新して再度アップロードしてください。

• 非標準の API 設計: 検出された API は標準の RESTful プラクティスに従っていないため、スキーマの定義と一致しません。API をリファクタリングする必要がある場合があります。一般的な問題は次のとおりです。

  • 非標準のパス: たとえば、定義された /users の代わりに /user を使用するなど。

  • 不正な HTTP メソッド: たとえば、DELETE の代わりに /users/delete/123 のような破壊的なアクションに GET を使用するなど。

  • ステータスコードの乱用: たとえば、エラーの場合でも常に 200 OK ステータスを返し、実際のステータスコードをレスポンス本文に配置するなど (例: { "status": "error", "code": 500 })。

  • 紛らわしいデータ構造: たとえば、リクエスト本文にあるべき email フィールドをレスポンススキーマで定義するなど、リクエストまたはレスポンスの誤った部分にフィールドを配置する。

ファイル形式とサイズ

• フォーマット: スキーマファイルは .yml、.yaml、または .json 形式である必要があります。

• サイズ: 最大ファイルサイズは 58 KB です。より大きなスキーマの場合は、.json 形式を使用し、アップロードする前に圧縮してください。

スキーマの内容

例

以下は .json スキーマファイルの例です。

{
    "openapi": "3.0.0",
    "info": {
        "title": "example",
        "description": "example",
        "version": "1.0"
    },
    "servers": [
    {
      "url": "https://example1.aliyun.com",
      "description": "example1 url"
    },
    {
      "url": "https://example2.aliyun.com",
      "description": "example2 url"
    }
    ],
    "components": {
        "schemas": {
            "ParamsObject": {
                "type": "object",
                "properties": {
                    "id": {
                        "type": "integer"
                    },
                    "value": {
                        "type": "string"
                    }
                },
                "required": [
                    "id",
                    "value"
                ]
            }
        }
    },
    "paths": {
        "/example/{param1}": {
            "get": {
                "operationId": "getexampleById",
                "parameters": [
                    {
                        "name": "param1",
                        "in": "path",
                        "required": true,
                        "description": "id",
                        "schema": {
                            "type": "integer",
                            "format": "int32"
                        }
                    }
                ]
            }
        },
        "/api1": {
            "post": {
                "operationId": "post_api1",
                "summary": "post api1 request",
                "parameters": [],
                "requestBody": {
                    "required": true,
                    "content": {
                        "application/json": {
                            "schema": {
                                "$ref": "#/components/schemas/ParamsObject"
                            }
                        }
                    }
                }
            },
            "get" :{
                "operationId": "get_api1",
                "summary": "get api1 request",
                "parameters": [
                    {
                        "name": "id",
                        "in": "query",
                        "required": true,
                        "schema": {
                            "type": "integer",
                            "format": "int32"
                        }
                    },
                    {
                        "name": "name",
                        "in": "query",
                        "required": false,
                        "schema": {
                            "type": "string"
                        }
                    }
                ]
            }
        }
    }
}