API架构合规验证

分析不合规请求

配置完成架构验证后，ESA将持续对API请求进行检测。您可以在架构验证页签单击API列表菜单栏的筛选按钮，选择对应的架构筛选出需要分析的架构，即可为您展示相应的API，并在不合规请求列中展示近24小时的不合规请求数。

不合规请求可能由几个原因导致：

• 客户端行为问题：客户端出现传参格式错误（如需JSON却传表单数据）、必填参数缺失、类型不匹配（字符串传布尔值）等问题时，可能导致不合规请求数增加。出现此类问题时，需要检查业务前端设计，增加错误检测机制、提交提醒等。

• 异常攻击行为：当攻击者进行注入攻击、暴力破解等攻击行为时，可能导致不合规请求数增加。出现此类问题时，您的业务系统可能正在遭受攻击，建议您更改执行动作为拦截，并配置更严格WAF规则。

分析无架构的API

当您成功上传架构文件后，符合架构的API将自动绑定对应的架构。您可以在架构验证页签单击无架构的API数量栏的筛选按钮进行筛选查看无架构的API列表。

针对无架构的API，ESA无法进行不合规请求统计，因此针对这类API对业务可能并不安全。无架构的API可能来自：

• 架构中遗漏：在上传的架构中遗漏了该类API。您可以核对列表中的API路径、主机记录、请求方案等信息特征，重新调整上传架构文件解决。

• API不合规范：已发现的API不符合规范。在API开发过程中，出现不规范开发，需要重新对不合规API进行修改或重构，通常包含以下几类：

  • 路径不规范：API的路径有误，如正确的paths应为/users，错误时写为/user。

  • HTTP方法误用：方法未遵循语义化原则，如用DELETE对应/users/delete/123的路径，错误时写为GET方法。

  • 状态码滥用：API响应状态码有误，如所有响应需返回200 OK，错误时在Body中写{ "responses": “500” }。

  • 输入输出结构混乱：输入输出内容有误，如输入应包含email字段，但错写至输出中。

类型和大小

架构验证文件仅支持 .yml、.yaml 或 .json 格式，最大上传大小为 58KB。如果上传架构文件过大，可以使用.json格式并且在本地进行压缩。

架构内容

示例

以 .json 格式文件为例。

{
    "openapi": "3.0.0",
    "info": {
        "title": "example",
        "description": "example",
        "version": "1.0"
    },
    "servers": [
    {
      "url": "https://example1.aliyun.com",
      "description": "example1 url"
    },
    {
      "url": "https://example2.aliyun.com",
      "description": "example2 url"
    }
    ],
    "components": {
        "schemas": {
            "ParamsObject": {
                "type": "object",
                "properties": {
                    "id": {
                        "type": "integer"
                    },
                    "value": {
                        "type": "string"
                    }
                },
                "required": [
                    "id",
                    "value"
                ]
            }
        }
    },
    "paths": {
        "/example/{param1}": {
            "get": {
                "operationId": "getexampleById",
                "parameters": [
                    {
                        "name": "param1",
                        "in": "path",
                        "required": true,
                        "description": "id",
                        "schema": {
                            "type": "integer",
                            "format": "int32"
                        }
                    }
                ]
            }
        },
        "/api1": {
            "post": {
                "operationId": "post_api1",
                "summary": "post api1 request",
                "parameters": [],
                "requestBody": {
                    "required": true,
                    "content": {
                        "application/json": {
                            "schema": {
                                "$ref": "#/components/schemas/ParamsObject"
                            }
                        }
                    }
                }
            },
            "get" :{
                "operationId": "get_api1",
                "summary": "get api1 request",
                "parameters": [
                    {
                        "name": "id",
                        "in": "query",
                        "required": true,
                        "schema": {
                            "type": "integer",
                            "format": "int32"
                        }
                    },
                    {
                        "name": "name",
                        "in": "query",
                        "required": false,
                        "schema": {
                            "type": "string"
                        }
                    }
                ]
            }
        }
    }
}