3、API 安全：概念、要素与威胁应对

API 安全：概念、要素与威胁应对

1. API 安全的基础认知

1.1 API 安全的重要性

在探讨 API 安全之前，我们需要了解一些应用安全的基础知识，包括安全编码技术、常见的软件安全漏洞，以及如何存储和管理用于访问 API 的系统和用户凭证。那么，为什么我们需要关注 API 安全呢？首先，同一 API 可能会被不同权限级别的用户访问，比如有些操作可能只允许管理员或具有特殊角色的用户执行。而且，API 可能会暴露给互联网上本不应访问的用户和机器人。如果没有适当的访问控制，任何用户都可以执行任何操作，这显然是不可取的。其次，虽然 API 中的每个单独操作可能本身是安全的，但操作的组合可能并不安全。最后，API 的实现可能存在安全漏洞，例如未能检查 API 输入的大小，可能会让攻击者通过发送非常大的输入耗尽所有可用内存，导致服务器崩溃，这就是一种拒绝服务（DoS）攻击。

1.2 典型的 API 部署

一个 API 通常由运行在服务器上的应用代码实现，服务器可以是 Java 企业版（Java EE）等应用服务器，也可以是独立服务器。不过，很少会将这样的服务器直接暴露到互联网甚至内部局域网。通常，对 API 的请求在到达 API 服务器之前，会先经过一个或多个额外的网络服务。以下是典型的 API 部署流程：
1. 防火墙 ：每个请求都会经过一个或多个防火墙，防火墙会在相对较低的级别检查网络流量，确保任何意外的流量都被阻止。例如，如果 API 在端口 80（HTTP）和 443（HTTPS）上提供服务，防火墙会配置为阻止任何其他端口的请求。
2. 负载均衡器 ：