微軟日前發(fā)布了一款名為 Developer Proxy 的命令行工具，該軟件可用于測(cè)試軟件調(diào)用 HTTP API 的行為，避免開發(fā)者向用戶請(qǐng)求過多權(quán)限，可預(yù)防軟件的過度授權(quán)問題。這些權(quán)限往往不影響應(yīng)用的正常使用過程，而授予這些應(yīng)用過多權(quán)限，容易引發(fā)用戶信息泄露。

據(jù)悉，Developer Proxy 工具能夠抓取應(yīng)用所發(fā)出的一系列 Microsoft Graph API 請(qǐng)求，并可以自動(dòng)檢測(cè)應(yīng)用程序需要調(diào)用的 API 數(shù)量。微軟表示，這些權(quán)限比較工作會(huì)在本地端進(jìn)行，因此用戶的數(shù)據(jù)不會(huì)被上傳到外界。

當(dāng)工具檢測(cè)到應(yīng)用程序擁有的權(quán)限，超過應(yīng)用實(shí)際需要的權(quán)限時(shí)，便會(huì)向開發(fā)者發(fā)出相關(guān)警告，此時(shí)開發(fā)者便可以根據(jù)實(shí)際情況對(duì)軟件進(jìn)行調(diào)整，但至于最終落地發(fā)布到用戶層面的軟件相關(guān)權(quán)限調(diào)用情況，還是需要取決于開發(fā)者自身。

功能特色

在 Microsoft 365 Developer Proxy的最新預(yù)覽版本中，我們引入了預(yù)覽功能，用于檢測(cè)使用 Microsoft Graph 的過度同意的應(yīng)用。

下載 Microsoft 365 Developer Proxy v0.9 并檢查您的應(yīng)用程序是否正確處理 API 錯(cuò)誤。

檢測(cè)使用 Microsoft Graph 的過度同意的應(yīng)用

之前，我們引入了對(duì)檢測(cè)調(diào)用圖形 API 的最低權(quán)限的支持Microsoft。通過記錄一系列 API 請(qǐng)求，您可以讓開發(fā)人員代理自動(dòng)檢測(cè)您的應(yīng)用調(diào)用這些 API 所需的最低權(quán)限。此功能不僅有助于提高工作效率，還可以幫助您構(gòu)建安全的應(yīng)用程序。

在此版本中，我們繼續(xù)與最低權(quán)限相關(guān)的工作，并引入了一個(gè)新插件，可幫助您查找應(yīng)用的權(quán)限是否超過其需要的權(quán)限（也稱為過度同意）。

與我們之前介紹的最小權(quán)限插件類似，新插件使用開發(fā)人員代理的錄制模式來捕獲應(yīng)用發(fā)出的一系列Microsoft Graph API 請(qǐng)求。停止錄制時(shí)，插件會(huì)將訪問令牌上的范圍/角色與調(diào)用捕獲的 API 所需的最小權(quán)限進(jìn)行比較，并在令牌使用更多/更廣泛的權(quán)限時(shí)發(fā)出警告。

我們將訪問令牌的權(quán)限與本地的最低權(quán)限進(jìn)行比較，并且不會(huì)將訪問令牌上傳到任何外部 API。

這個(gè)新插件會(huì)檢測(cè)對(duì)應(yīng)用程序和委托權(quán)限的過度同意。有關(guān)其工作原理的詳細(xì)信息，請(qǐng)參閱文檔。

我們將以預(yù)覽版發(fā)布此功能，并將繼續(xù)提高其準(zhǔn)確性。我們很想聽到有關(guān)其工作原理以及如何使其更好的反饋。

新名稱，同樣很棒的工具

繼 365 月宣布后，我們將以 Microsoft 365 Developer Proxy的新名稱發(fā)布此版本。我們希望它能更清楚地表明，您可以在 Microsoft <> 及更高版本上將此工具與 Microsoft Graph 和任何其他 API 一起使用。

作為重命名的一部分，我們重命名了存儲(chǔ)庫，并將其移動(dòng)到 GitHub 上的Microsoft組織。我們還將可執(zhí)行文件的名稱更改為 m365proxy，您現(xiàn)在將使用該名稱在計(jì)算機(jī)上啟動(dòng)代理。

更新日志

Microsoft 365 Developer Proxy v0.9

改變了什么
更新README.md by @garrytrinder in #269
重命名為Microsoft 365 Developer Proxy by @waldekmastykarz in #273
更新重命名后的示例應(yīng)用程序 by @garrytrinder in #274
更新升級(jí)URLs by @waldekmastykarz in #275
添加最小權(quán)限指導(dǎo)插件。Closed #213 by @waldekmastykarz in #276
更新README.md 作者：@Garrytrinder 在#277中
增加版本號(hào)至v0.9.0 by @waldekmastykarz in #278
更新 README.md 由 @garrytrinder 在 #281 發(fā)表