Elysia Tools
导航
Development
对 OpenAPI 请求字段做语义变异，并可发送到真实后端以检查防御性校验覆盖率
详情
粘贴 OpenAPI 3.x 文档后，工具会先为每个 operation 生成基准合法请求，再把字段改造成更危险的语义变体，比如删除必填项、填入负数、越界枚举、全空格字符串或特殊字符载荷。
使用方式：
结果解读：
执行
填写表单、运行工具，并在同一页面查看结果。
案例
相关内容
等待运行
工具使用指南
API 契约变异测试器是一款专为开发者与测试人员设计的安全与健壮性检测工具。通过解析 OpenAPI 3.x 规范文档，它能自动为接口字段生成缺失必填项、越界数值、特殊字符等危险语义变体。你可以仅生成变异测试计划，或直接将这些异常请求发送至真实后端，快速验证 API 的防御性校验是否完善，提前发现潜在的越权或崩溃风险。
背景
团队刚完成用户注册接口的设计，OpenAPI 文档已就绪，但尚未编写异常测试用例。
问题
需要快速列出所有可能的异常参数组合，用于指导后续的测试脚本编写。
如何使用
将注册接口的 OpenAPI YAML 粘贴到规范输入框，保持基础 URL 为空，将每字段变异数设为 3。
baseUrl: (空)
executeMutations: false
mutationsPerField: 3结果
工具输出 JSON 格式的变异计划，列出了针对 email 注入特殊字符、age 传入负数等变异策略，未发送任何真实请求。
背景
开发人员为订单创建接口添加了参数校验逻辑，要求商品数量必须大于 0，且状态必须是指定枚举值。
问题
需要验证测试环境的后端服务是否真的能拦截非法数量和未知的状态枚举。
如何使用
粘贴 OpenAPI 文档，填写测试环境的基础 URL，勾选“执行变异请求”，并填入测试用的 Bearer Token。
baseUrl: https://api.test.com
executeMutations: true
authorizationHeader: Bearer test_token_123结果
工具向测试环境发送了变异请求。结果显示数量为负数的请求被成功拦截（defended），但传入未知枚举值的请求被意外处理（accepted），提示开发人员修复枚举校验漏洞。
目前仅支持 OpenAPI 3.x 版本的 YAML 或 JSON 格式文档，暂不支持 Swagger 2.0。
“被防御”指后端正确识别了异常参数并返回了错误状态码（如 400）；“被接受”指后端未拦截异常参数，仍返回了成功状态码（如 200），这通常意味着校验存在漏洞。
只有在填写了“基础 URL”并勾选“执行变异请求”时，工具才会向后端发送真实请求。建议在测试环境或沙盒环境中使用，避免污染生产数据。
可以在“授权头”字段中填入有效的认证信息，例如 Bearer <token>，工具会在发送真实请求时自动携带该请求头。
工具会根据“每字段变异数”限制生成的变体数量。此外，如果没有在 OpenAPI 中明确定义字段的类型或约束，工具可能无法生成针对性的语义变异。