OWASP OFFAT

OFFensive Api Tester — 源码感知的 API 安全测试。
从代码中映射你的 API，在代码图上证明从源到汇的路径，使用 Rust 引擎执行测试， 并用 AI 对结果进行分诊。

文档 · 安装 · 用法 · GitHub Action

---

仅限授权使用。 实际运行会向你指定的 OFFAT 目标发送真实请求， 并且需要显式指定 --yes。仅测试你拥有或已获授权评估的系统和代码。

功能简介

map -> code graph -> threat model -> test-gen -> execute (Rust) -> triage (AI) -> report

• 直接从源码（装饰器路由、路由器、OpenAPI/Swagger 规范）映射攻击面， 生成一个规范的 Bundle 文件。
• 在代码属性图（Python、JS/TS）上证明从源到汇的数据流，并将每个发现 关联到可达该数据流的 HTTP 路由。
• 使用 Rust 引擎通过 HTTP/1.1、HTTP/2、WebSocket 和 gRPC（可选启用 HTTP/3 + QUIC） 执行测试计划，并针对 BOLA / BFLA 进行身份感知的差分检查。
• 使用注重 token 消耗的 AI 分诊器（缓存、批处理、模型分级）或确定性的离线启发式方法进行分诊。
• 以 SARIF 2.1.0（含代码流）、Markdown、HTML、OWASP API Top 10 合规报告和 JUnit 格式报告结果。

快速开始

git clone https://github.com/OWASP/OFFAT.git && cd OFFAT
pip install ./bundle ./triager './whitebox[graph]' ./graybox ./platform ./reporter
make engine                                   # Rust engine, only for live runs

# source-only: no traffic is sent
offat-platform run /path/to/repo -o app.offat.json --report-dir reports

# live, against a target you are authorized to test
offat-platform run /path/to/repo --url https://api.your-authorized-target.test \
  --identities examples/identities.example.json --yes -o app.offat.json --fail-on high

仅源码模式：

offat-whitebox /path/to/repo          # code-graph SAST + AI triage
offat-graybox  /path/to/repo          # SAST prioritized by endpoint reachability

或使用容器：docker build -t offat -f docker/Dockerfile .

仓库结构

路径	说明
bundle/	Bundle 契约（schema、IO、校验）
platform/	offat-platform：映射、PRG、威胁模型、测试生成、分诊
engine-rs/	offat-engine：Rust 执行引擎
whitebox/	offat-whitebox：代码图污点引擎 + SAST 流水线
graybox/	offat-graybox：融合端点可达性的 SAST
triager/	共享的 AI / 启发式分诊器
reporter/	SARIF、Markdown、HTML、合规报告
viz/	静态 Bundle 可视化工具
docs/	文档站点源文件

经典的仅基于规范的 Python CLI（pip install offat、src/）已退役， 由平台取代。其最后一个版本仍保留在 PyPI 上。

贡献

参见 CONTRIBUTING.md。欢迎提交 issue 和 pull request。

许可证

OWASP OFFAT 基于 MIT License 分发。