2025年信息系统安全专家API安全API安全与PCIDSS合规专题试卷及解析.pdf

2025年信息系统安全专家API安全API安全与PCIDSS合规专题试卷及解析1

2025年信息系统安全专家API安全API安全与

PCIDSS合规专题试卷及解析

2025年信息系统安全专家API安全API安全与PCIDSS合规专题试卷及解析

第一部分：单项选择题（共10题，每题2分）

1、在API安全中，以下哪种攻击方式通过提交恶意输入来破坏API的逻辑或访

问未授权数据？

A、DDoS攻击

B、SQL注入

C、参数篡改

D、中间人攻击

【答案】C

【解析】正确答案是C。参数篡改是API安全中常见的攻击方式，攻击者通过修改

API请求参数来绕过验证或访问未授权数据。A选项DDoS攻击主要针对服务可用性；

B选项SQL注入虽然也是输入攻击，但更针对数据库；D选项中间人攻击侧重于通信

拦截。知识点：API安全基础。易错点：容易混淆参数篡改与SQL注入的区别。

2、根据PCIDSS要求，以下哪项是存储持卡人数据时的强制加密标准？

A、MD5

B、SHA1

C、AES256

D、Base64

【答案】C

【解析】正确答案是C。PCIDSS明确要求使用强加密算法（如AES256）保护持卡

人数据。A、B选项是哈希算法，不适用于数据存储加密；D选项Base64只是编码方

式，不具备加密性。知识点：PCIDSS加密要求。易错点：误将哈希算法等同于加密算

法。

3、API网关在安全架构中的主要作用不包括？

A、身份验证

B、流量控制

C、数据库优化

D、日志记录

【答案】C

【解析】正确答案是C。API网关负责请求路由、身份验证、流量监控等，但不涉

及数据库优化。A、B、D都是API网关的核心功能。知识点：API网关功能。易错点：

容易将API网关与数据库中间件功能混淆。

2025年信息系统安全专家API安全API安全与PCIDSS合规专题试卷及解析2

4、PCIDSS要求定期进行渗透测试的频率是？

A、每月一次

B、每季度一次

C、每半年一次

D、每年一次

【答案】D

【解析】正确答案是D。PCIDSS4.0要求至少每年进行一次渗透测试，重大变更后

还需补充测试。其他频率均不符合标准。知识点：PCIDSS测试要求。易错点：误将季

度扫描等同于渗透测试。

5、以下哪种API认证方式最易受到重放攻击？

A、OAuth2.0

B、APIKey

C、JWT

D、mTLS

【答案】B

【解析】正确答案是B。APIKey通常静态传输，缺乏时效性验证，最易受重放攻

击。其他方式都包含动态令牌或证书验证机制。知识点：API认证安全。易错点：忽视

APIKey的静态特性风险。

6、PCIDSS中”默认拒绝”原则适用于？

A、网络访问控制

B、密码策略

C、日志记录

D、数据备份

【答案】A

【解析】正确答案是A。“默认拒绝”是PCIDSS对网络访问控制的基本要求，其他选

项不适用此原则。知识点：PCIDSS访问控制。易错点：将原则适用范围扩大化。

7、API速率限制的主要目的是？

A、提升响应速度

B、防止滥用攻击

C、简化开发流程

D、减少存储成本

【答案】B

【解析】正确答案是B。速率限制主要用于防止API滥用和DDoS攻击。A、C、D

都不是其主要目的。知识点：API防护机制。易错点：混淆性能优化与安全防护的区别。

8、PCIDSS要求敏感认证数据（如CVV）存储的最长期限是？

2025年信息系统安全专家API安全API安全与PCIDSS合规专题试卷及解析3

A、24小时

B、48小时

C、授权后立即删除

D、可永久存储

【答案】C

【解