微軟日前發(fā)布了一款名為 Developer Proxy 的命令行工具，該軟件可用于測試軟件調(diào)用 HTTP API 的行為，避免開發(fā)者向用戶請求過多權(quán)限，可預防軟件的過度授權(quán)問題。這些權(quán)限往往不影響應(yīng)用的正常使用過程，而授予這些應(yīng)用過多權(quán)限，容易引發(fā)用戶信息泄露。

據(jù)悉，Developer Proxy 工具能夠抓取應(yīng)用所發(fā)出的一系列 Microsoft Graph API 請求，并可以自動檢測應(yīng)用程序需要調(diào)用的 API 數(shù)量。微軟表示，這些權(quán)限比較工作會在本地端進行，因此用戶的數(shù)據(jù)不會被上傳到外界。

當工具檢測到應(yīng)用程序擁有的權(quán)限，超過應(yīng)用實際需要的權(quán)限時，便會向開發(fā)者發(fā)出相關(guān)警告，此時開發(fā)者便可以根據(jù)實際情況對軟件進行調(diào)整，但至于最終落地發(fā)布到用戶層面的軟件相關(guān)權(quán)限調(diào)用情況，還是需要取決于開發(fā)者自身。

功能特色

在 Microsoft 365 Developer Proxy的最新預覽版本中，我們引入了預覽功能，用于檢測使用 Microsoft Graph 的過度同意的應(yīng)用。

下載 Microsoft 365 Developer Proxy v0.9 并檢查您的應(yīng)用程序是否正確處理 API 錯誤。

檢測使用 Microsoft Graph 的過度同意的應(yīng)用

之前，我們引入了對檢測調(diào)用圖形 API 的最低權(quán)限的支持Microsoft。通過記錄一系列 API 請求，您可以讓開發(fā)人員代理自動檢測您的應(yīng)用調(diào)用這些 API 所需的最低權(quán)限。此功能不僅有助于提高工作效率，還可以幫助您構(gòu)建安全的應(yīng)用程序。

在此版本中，我們繼續(xù)與最低權(quán)限相關(guān)的工作，并引入了一個新插件，可幫助您查找應(yīng)用的權(quán)限是否超過其需要的權(quán)限（也稱為過度同意）。

與我們之前介紹的最小權(quán)限插件類似，新插件使用開發(fā)人員代理的錄制模式來捕獲應(yīng)用發(fā)出的一系列Microsoft Graph API 請求。停止錄制時，插件會將訪問令牌上的范圍/角色與調(diào)用捕獲的 API 所需的最小權(quán)限進行比較，并在令牌使用更多/更廣泛的權(quán)限時發(fā)出警告。

我們將訪問令牌的權(quán)限與本地的最低權(quán)限進行比較，并且不會將訪問令牌上傳到任何外部 API。

這個新插件會檢測對應(yīng)用程序和委托權(quán)限的過度同意。有關(guān)其工作原理的詳細信息，請參閱文檔。

我們將以預覽版發(fā)布此功能，并將繼續(xù)提高其準確性。我們很想聽到有關(guān)其工作原理以及如何使其更好的反饋。

新名稱，同樣很棒的工具

繼 365 月宣布后，我們將以 Microsoft 365 Developer Proxy的新名稱發(fā)布此版本。我們希望它能更清楚地表明，您可以在 Microsoft <> 及更高版本上將此工具與 Microsoft Graph 和任何其他 API 一起使用。

作為重命名的一部分，我們重命名了存儲庫，并將其移動到 GitHub 上的Microsoft組織。我們還將可執(zhí)行文件的名稱更改為 m365proxy，您現(xiàn)在將使用該名稱在計算機上啟動代理。

更新日志

Microsoft 365 Developer Proxy v0.9

改變了什么
更新README.md by @garrytrinder in #269
重命名為Microsoft 365 Developer Proxy by @waldekmastykarz in #273
更新重命名后的示例應(yīng)用程序 by @garrytrinder in #274
更新升級URLs by @waldekmastykarz in #275
添加最小權(quán)限指導插件。Closed #213 by @waldekmastykarz in #276
更新README.md 作者：@Garrytrinder 在#277中
增加版本號至v0.9.0 by @waldekmastykarz in #278
更新 README.md 由 @garrytrinder 在 #281 發(fā)表