API 网关安全配置审计 Checklist + 自动化扫描 Bash 脚本（覆盖 6 个风险面 + 3 个脱敏线上案例）

背景

在分布式系统中，API 网关（Kong / APISIX / Traefik / 自研 Spring Cloud Gateway）是所有外部流量的唯一入口。安全加固做得好不好，直接决定了内部微服务是否暴露。我们团队每季度做一次安全巡检，但目前靠人肉对照文档逐项检查，效率低、漏检率高（上次巡检就漏了 CORS 通配符 + 未鉴权健康检查接口暴露了内部版本号）。

最终要什么

一份可直接落地的 API 网关安全审计工具包，包含：

1. 结构化 Checklist（Markdown）：覆盖以下 6 个风险面，每个风险面列出具体检查项、风险等级（P0/P1/P2）、判定依据与修复建议：

   • ① 限流与熔断（全局 / 路由 / 消费者三级限流是否生效、阈值合理性）
   • ② 认证与授权（API Key / JWT / OAuth2 配置、Token 过期与刷新策略、默认凭据残留）
   • ③ TLS 与传输安全（协议版本、证书链、HSTS、SNI 强制）
   • ④ CORS 与响应头（通配符 Origin、缺少 Security 响应头、信息泄露）
   • ⑤ 请求体与参数校验（Body 大小限制、Content-Type 白名单、路径遍历防护）
   • ⑥ 可观测性与审计（访问日志字段完整性、敏感字段脱敏、异常告警规则）

2. 自动化扫描 Bash 脚本（单文件）：

   • 输入：网关管理 API 地址 + Token（或配置文件路径）
   • 输出：逐项 PASS / WARN / FAIL 结果表 + 汇总评分（百分制）
   • 要求：纯 Bash + curl + jq，不依赖 Python；兼容 Kong 3.x 与 APISIX 3.x 的管理 API
   • 至少覆盖上面 6 个风险面中的 4 个可自动化检查项

3. 3 个脱敏线上案例：每个案例包含现象 → 根因 → 影响面 → 修复步骤 → 复盘要点，必须脱敏（公司名 / 域名 / IP 替换为占位符）。

输入与上下文

• 不需要对接真实网关，用 mock 响应即可验证脚本逻辑
• Checklist 需参考 OWASP API Security Top 10 (2023) 与 NIST SP 800-204 中网关相关条款
• 脚本需在 Bash 4.4+ / macOS 与 Ubuntu 22.04 均可运行
• 交付物统一为 Markdown + Bash 文件，不需要打包

交付格式

• checklist.md：结构化 Checklist，含 6 个风险面 × 每面 ≥4 条检查项
• gateway_audit.sh：自动化扫描脚本，含 --help、--verbose、--output json 三个选项
• cases.md：3 个脱敏案例
• 所有文件合并为一个交付包（≤5 个文件）