API Security Testing: Полное Руководство по OAuth, JWT и API Keys

class OAuthFlowTester:
    def test_authorization_flow(self):
        # Шаг 1: Получить код авторизации
        params = {
            'response_type': 'code',
            'client_id': self.client_id,
            'redirect_uri': 'http://localhost:3000/callback'
        }

        # Шаг 2: Обменять код на токен
        token_response = requests.post(self.token_url, data={
            'grant_type': 'authorization_code',
            'code': auth_code
        })

        assert 'access_token' in token_response.json()

// JWT testing
const jwt = require('jsonwebtoken');

// Test просроченного JWT
function testExpiredJWT() {
    const token = jwt.sign({ userId: 123 }, secret, { expiresIn: '-1s' });

    try {
        jwt.verify(token, secret);
        console.error('✗ Просроченный JWT был принят!');
    } catch (err) {
        console.log('✓ Просроченный JWT правильно отклонен');
    }
}

class APIKeyTester:
    def test_api_key_in_header(self, api_key):
        response = requests.get(
            f"{self.base_url}/api/data",
            headers={'X-API-Key': api_key}
        )
        assert response.status_code == 200

    def test_rate_limiting(self, api_key):
        for i in range(110):
            response = requests.get(url, headers={'X-API-Key': api_key})

        # Должен достичь rate limit
        assert 429 in responses

def test_bola():
    # Токен Пользователя A
    token_a = 'user_a_token'

    # Попытка доступа к ресурсу Пользователя B
    response = requests.get(
        f'https://api.example.com/users/456/profile',
        headers={'Authorization': f'Bearer {token_a}'}
    )

    # Должен вернуть 403 Forbidden
    assert response.status_code == 403