前言

伴随互联网革新快速立异开展，API 需求的日益剧增，针对 API 的进犯简直遍布各个职业，据报道 2022 年全年平均每月遭受进犯的 API 数量超越 21 万，游戏、社交、电商、制造等职业依然是进犯者首要方针。例如社交软件某特，在 2021 年发生数据走漏事件，此次数据走漏影响了多达 540 万用户，发生这场“惨案” 正是进犯者使用了登录 API 端点，发生这一缝隙的原因很或许是 API 过度数据露出以及安全配置过错（下面我会讲到）。明显无论是 API 进犯全体趋势还是对企业和用户的影响都是不容乐观的。那怎么去建立 API 接口的安全“堡垒”？下面咱们将打开讨论。

开始前咱们能够先了解下：什么是 API？深化了解 API 的概念和运用

API 接口安全问题

API 进犯事件频发，其根本原因仍是 API 存在安全缺点，随着 API 在各个生态的快速开展，API 面对的安全缺点也逐渐凸显，也引起了决策者注重，API 的安全困局也成为了现代IT面对的一个共性问题。下面我举例几个我曾经在开发中常遇到的 API 安全问题 ：

未授权拜访

这类安全问题会带来极为严峻的缝隙，因而小编在开发中尤为注重，API 倾向于露出那些处理方针识别的端点，同时造成了广泛的进犯表层拜访操控问题。一旦遭到进犯，进犯者可轻易获取到办理员的账号密码，并拿到体系的最高权限。我们能够经过白名单的办法来严格操控无需授权的 API 接口的拜访；除非资源完全对外开放，否则拜访默许都要授权，尤其是拜访用户的资源或许受约束资源。

数据走漏过多

为了做到通用完成，一些同伴往往倾向于公开一切方针特色，不考虑它们各自的敏感性，而是依赖于客户端履行数据过滤，然后再将其显示给用户。在不操控客户端状况的情况下，服务器就会接收越来越多的过滤器，进犯者或许会经过乱用这些过滤器，然后取得拜访敏感数据的权限。某特引发数据走漏的一大原因，便是因为 API 端点回来了电子邮件或电话号码等可识别数据。

安全性配置过错

安全配置过错是在日常开发中容易疏忽的常见问题，不安全的默许配置、不完好或临时配置、开放的云存储、过错配置的 HTTP 标头，不必要的 HTTP 办法、跨域资源共享（CORS）以及包含敏感信息的冗长过错消息都有或许引起 API 的安全问题。我们必定要注意检测。

注入

当不受信赖的数据作为命令或查询的一部分发送到解说器时会发生注入缺点，例如 SQL、NoSQL 的命令注入等。进犯者的歹意数据或许会诱使解说器履行非预期的命令，或未经授权拜访数据。

缺少资源和速率约束

在 API 的开发中一些小同伴，不会对客户端/用户能够恳求的资源大小或数量施加任何约束。这不只会影响 API 服务器的功能，然后导致拒绝服务（DoS），而且还为诸如暴力破解之类的身份验证缝隙敞开了大门。我建议还是对资源和速率施加必定的约束，会让咱们更有信心坚持运用程序健康运转而杰出的呼应计划。

怎么规划并保证 API 接口安全

我信任我们一般不会把大额的钱随身带着。大多数人都会挑选把钱存到可信的环境中，在需求付出时采用分隔的办法授权和验证付出。API 安全防护与之相似，所以，咱们需求一个具有验证和授权战略的可信环境。接下来，咱们来聊聊怎么去营造这样的一个环境。

Token 计划

我们能够将 Token 形象的了解为“身份证”，由服务端签发与验证，并且在有用期内检测是否具有合法性，根据 Token 具有随机性、不行预测性、时效性、无状况、跨域等特色。Token 在 API 安全中发挥着重要效果，运用 Token 计划的长处是什么？

• Token 完全由运用办理，所以它能够避开同源战略；
• Token 功能高、安全性好，能够避免 CSRF 进犯；
• Token 能够是无状况的，能够在多个服务间共享，处理跨域问题。

Token 是在服务端发生的。假如前端运用用户名/密码向服务端恳求认证，服务端认证成功，那么在服务端会回来 Token 给前端。前端能够在每次恳求的时分带上 Token 证明自己的合法位置。假如这个 Token 在服务端持久化（比如存入数据库），那它便是一个永久的身份令牌

给我们简略叙说一下 Token 的鉴权办法的完好流程，以便于我们更好的了解 Token 在维护 API 安全方面的效果，首要客户端用户经过用户和密码进行首次登录，服务端在接收到用户恳求，验证用户名和密码的正确性，登录验证成功后根据自界说规矩生成 Token 信息，将生成的 Token 经过呼应回来给客户端。

客户端再将 Token 信息存储在本地，在之后的每次恳求中带着 Token 信息，服务端针获取恳求中的 Token，并根据界说的验证机制判断 Token 合法性，验证成功获取用户信息，坚持用户状况，Token 存活时刻到达设置的有用期后主动失效，此后用户恳求时 Token 验证不经过，就需求用户重新登录验证。

无论是从安全的视点考虑，还是从吊销的视点考虑，Token 都需求设有用期。运用 RefreshToken，它能够避免频频的读写操作。这种计划中，服务端无需刷新 Token 的过期时刻，一旦 Token 过期，就反馈给前端，前端运用 RefreshToken 申请一个全新 Token 继续运用。然后保障信息数据安全。

接口签名

企业在为第三方体系供给接口的时分，肯定要考虑接口数据的安全问题，比如数据是否被篡改，数据是否已经过期，恳求是否仅有，数据是否能够重复提交等问题。其间数据是否被篡改相对重要。因而数据传输存在着极大的风险，所以有必要接口签名，接口签名能够处理什么问题？

❤恳求是否合法：是否是我规定的那个人；

❤恳求是否被篡改：是否被第三方绑架并篡改参数；

❤避免重复恳求（防重放）：是否重复恳求。

恳求带着参数 appid 和 sign，只有拥有合法的身份 appid 和正确的签名 sign 才干放行。这样就处理了身份验证和参数篡改问题，即便恳求参数被绑架，因为获取不到 secret（仅作本地加密运用，不参加网络传输），无法假造合法的恳求。办法依然不是最谨慎的，只运用 appid 和 sign，尽管处理了恳求参数被篡改的危险，可是还存在着重复运用恳求参数假造二次恳求的危险。称为重放进犯（replay 进犯），我们能够经过参加 timestamp + nonce 两个参数来操控恳求有用性，避免重放进犯。

简略来说一下该计划的签名规矩，首要进行线下分配 appid 和 appsecret 针对不同的调用方分配不同的 appid 和appsecret，参加 timestamp (时刻戳) 2 分钟内数据有用，再参加流水号 nonce (避免重复提交) 至少 10 位。针对查询接口，流水号只用于日志落地，便于后期日志核查。针对办理类接口需校验流水号在有用期内的仅有性，以避免重复恳求。参加 signature，一切数据的签名信息。其间，需求放在恳求头的字段: appid、timestamp、nonce、signature。

讲到这里我想我们对这两大计划有了必定的了解，总的来说 Token+ 签名认证两大计划，去维护 API 安全的首要原理是：

★ 经过认证服务，供给一个认证的 WEBAPI，用户先拜访它获取对应的 Token；

★ 用户拿着相应的 Token 以及恳求的参数和服务器端供给的签名算法核算出签名后再去拜访指定的 API；

★ 服务器端每次接收到恳求就获取对运用户的 Token 和恳求参数，服务器端再次核算签名和客户端签名做对比，假如验证经过则正常拜访相应的 API，验证失利则回来详细的失利信息。

当然只是运用 Token+ 签名认证两大“根基”，去全面保障 API 安全也是较为困难的，对于咱们来说，为了更好的提高 API 安全性，就需求在规划和开发阶段，对 API 的安全性进行杰出的构建和规划，这就需求我们遵守 API 安全开发标准进行实施。接下来解说一下，在我开发日常中认为较为重要的五大标准。

五大安全标准

能见度

作为一名合格的运用程序开发人员和用户，咱们需求知道正在发布哪些 API、怎么以及何时更新它们、谁在拜访它们以及怎么拜访它们。我们能够经过 Apifox 这类一体化协助渠道供给可视化 API 规划，及时了解用户的 API 运用范围，以确保 API 安全的第一步。

Bot 缓解办法

在某些环境中，很多的运用程序流量，例如，账户登录或注册、购物车结账是由主动化 Bot 生成的。有必要了解和办理流量配置文件，包含区分好 Bot 和坏 Bot，避免主动进犯的同时又不会阻挠合法流量。有用的弥补办法包含实施 Bot 白名单、黑名单和速率约束战略，以及特定于用例和相应 API 端点的地理围栏。

拜访操控

API 拜访权限通常是不受严格操控的，这或许导致意外露出。确保向不同用户颁发适当的 API 拜访权限是一项至关重要的安全要求，拜访者有必要与企业的身份和拜访办理（IAM）体系进行和谐。

避免缝隙使用

API 经过消除 Web 表单或移动运用程序来简化进犯进程，然后使进犯者更容易使用方针缝隙。因而，维护 API 端点免遭事务逻辑乱用和其他缝隙使用是要害的 API 安全缓解要求。

数据防走漏

避免因为编程过错或安全操控缝隙而发生的 API 露出或非授权拜访，是避免数据走漏或丢掉的一项至关重要的安全要求。许多 API 进犯都是专门为获取对后端服务器和体系供给的要害数据的拜访而规划的。

写在最后

事实上 API 作为运用程序之间，运用与用户之间交互的桥梁，承载着企业的事务逻辑和很多用户数据，一旦由 API 安全缝隙引发进犯事件，其后果注定难以承受。因而，建议企业用户经过引用专业的 API 办理工具产品或处理计划，快速建立起真实、有用的 API 安全“堡垒”，经过一体化协作渠道高效，及时，精确补全安全上的缺口。

文章写到这里就告一段落了，希望这篇文章能够帮助我们处理一些 API 开发中发生的问题。高效，及时，精确的完成开发，感谢我们阅览。

若想深化了解更多关于 API 相关的知识，能够检查以下文章：

• 关于 API 安全你需求知道的那些事
• REST API 安全最佳实践：鉴权和授权