在接口开发中,怎样保障webapi接口安全性验证

app服务端接口开发,如何保证安全性? - 知乎有问题,上知乎。知乎作为中文互联网最大的知识分享平台,以「知识连接一切」为愿景,致力于构建一个人人都可以便捷接入的知识分享网络,让人们便捷地与世界分享知识、经验和见解,发现更大的世界。115被浏览<strong class="NumberBoard-itemValue" title="1分享邀请回答115 条评论分享收藏感谢收起应用编程接口(API)一直是信息安全领域的热门讨论话题,这是有原因的:最近的一些高知名度网站安全泄露事故(包括Pinterest和Instagram)都涉及API。 在2014年1月,Snapchat数据泄露事故导致约460万用户受影响,而该事故的根源就是不安全的API。虽然API并不是直接攻击目标,但API允许攻击者大规模匹配Snapchat用户的手机号码与用户名。 在本文中,我们将探讨不安全的API如何以及为何会给企业及用户构成重大风险,并解释安全团队应该怎样做来提高人们的安全意识、保护现有企业软件中的API,以及如何安全地使用API数据。 什么是API? API是指一组函数或例程,它们用…… 微信公众号
TechTarget
TechTarget中国
周一至周日 9:00-18:00(全国免费咨询)
您正在使用移动设备访问,是否切换到手机版?
欢迎访问APISTORE
免费试用,在线咨询
工作时间:& 9:00-24:0023:50 提问
请教Restful接口安全如何保证,是否具有有效的方案或者别的框架提供了解决办法?
现在很多服务为了开发效率,扩展性等,都采用了restful api或者一般的api传递json的方式进行前后端数据传递,
请问,如果后端暴露在外网下如何保证接口不被恶意调用呢?
Oauth2等重量型的解决方法是否有别的框架已经采用了呢?求代码
按赞数排序
比如说,你可以让客户端提交用户名密码或者apikey,服务器返回一个token,这个token在90秒内有效。之后的操作需要token,那么这个就无法模仿了。
在网络层面,可以用ssl避免被抓包窃听。
给参数加上md5,防止篡改。
看下oauth等api,都是这样的思路。
准确详细的回答,更有利于被提问者采纳,从而获得C币。复制、灌水、广告等回答会被删除,是时候展现真正的技术了!
其他相关推荐APP接口安全设计要点有问题,上知乎。知乎作为中文互联网最大的知识分享平台,以「知识连接一切」为愿景,致力于构建一个人人都可以便捷接入的知识分享网络,让人们便捷地与世界分享知识、经验和见解,发现更大的世界。总结了一些APP接口安全设计的要点供大家参考,如有疏漏请在评论里面提醒补充!请求合法性校验:请求合法性校验主要就是指如何避免API被非法的调用,比如系统里面有一个短信接口,就要考虑如何避免这个短信接口不被短信轰炸机滥用,可以采用的方式有以下几种:1.
验证码,验证码主要用于防范恶意注册、恶意破解密码、恶意灌水等非法操作,验证码可以使用Google的CAPTCHA解决方案。2.
Token令牌,Token主要用于自动登录,也就是在不需要用户频繁登录的情况下保证访问的合法性。常见的流程是使用用户名和密码登陆后,服务端返回一个token,后续客户端每次方法都带上这个token,当这个token超过一定的时间(token有效期)没有被使用,则要求客户端重新输入用户名和密码重新获取token,服务端也通过请求的IP地址等一些信息判断客户端的网络环境和设备环境是否发生变化,如果发生变化,也要求客户端重新输入用户名和密码,重新获取token。3.
IP、MAC地址限制,只允许某一个MAC地址、IP或IP段的客户端进行访问请求,只能一定程度上起到防范作用。4.
User-Agent和Referer限制,只能一定程度上起到防范作用。数据合法性校验:数据合法性的校验主要是为了避免异常数据和注入攻击。1.
不依赖客户端的数据校验,不管客户端有没有进行数据校验,服务端都要做合法性校验。2.
用白名单的方式验证数据合法性,也就是根据一系列已知的正确值或规则来验证请求数据,不尝试检验某些特定的错误。数据加密:数据加密主要是指对敏感数据进行加密,避免因网络传输过程中的窃听和抓包造成敏感数据泄露,常见方法主要由:1.
使用HTTPS协议。2.
对敏感数据采用秘钥进行加密和解密。接口错误处理:接口错误处理主要是值对接口的返回结果进行编码,制定统一的错误返回编码,避免因接口错误和异常等原因造成堆栈信息泄露。接口过载保护:接口过载保护是指对接口访问频率设置阈值,超出阈值后不予处理,直接返回错误码,可以一定程度上防止CC攻击,过载保护可以通过Web服务器进行控制,也可以通过代码进行控制。1.
Nginx可以通过HttpLimitReqModul来限制单位时间内连接数的模块,使用limit_req_zone和limit_req指令配合使用来达到限制。 一旦并发连接超过指定数量,就会返回503错误。HttpLimitConnModul用来限制单个ip的并发连接数,使用limit_zone和limit_conn指令这两个模块的区别前一个是对一段时间内的连接数限制,后者是对同一时刻的连接数限制。2.
可以通过代码的方式来判断,最好基于Redis计数器或者服务端缓存,避免对性能造成影响。130分享收藏文章被以下专栏收录关注程序员入门、求职、职场、成长webapi接口的安全性_中华文本库
Web API 接口设计经验总结在 Web API 接口的开发过程中,我们可能会碰到各种各...一般需要声明为 POST 方式提交数据,而且基于安全性的 考虑,需要携带更多的参数。...
基于SOAP的Web Service实现技术和相关代码,虽然较为成熟,且安全性较好,但是使用...REST由四个接口约束定义:资源的识别,Web-Based系统中资源由URI表示,数 据库...
在本教程中,我们将使用在“创建支持 CRUD 操作的 Web API(本系列教程的第 2.1 小节 — 译者注)”小节中描述的“ProductStore”API。 Create the Console ...
接口方式 接口安全 接口认证 数据安全 事务处理 性能考虑 容错处理 数据格式 ...在外协系统中提供 Web Service 的 API 接口。提供由施工系统调用获得信息;并且...
简单使用 JS 调用上面提供的数据接口 1 2 3 4 5 6 7 8 9 10 11 12 13...客户端戒者服务端的安全控制 要解决这些问题,要了解一下 WebAPI 的基本工作...
WebApi系列~通过HttpClient来调用WebApi接口 - WebApi 系列~通过 HttpClient 来调用 Web Api 接口 回到目录 HttpClient 是一个被封装好...
中华文本库_最权威的科学研究、教学教案、IT技术、小说文学、备考资料、办公文案和各行业相关资源等文本信息。
Web接口示例文档 - 埋点 API 接口文档 V1.1 【埋点 API】 接口文档 版本(V1.0) 2016 年 11 月 I 埋点 API 接口文档 V1.1 目录 1. 版...
第一章.实例快速上手 -ASP.NET 4.5 新特性 WebAPI 从入门到精通在新出的 ...使用 WebAPI 实现文件上传 4.如何加强 WebAPI 的安全性 此部分内容涉及代码见...
K/3 Cloud Web API 接口说明文档 K/3 Cloud Web API 接口说明文档整理人:王洪雷 创建时间: 最后修改: 版本:Ver1.0 修改人:刘晓辉 ...

我要回帖

更多关于 如何保证接口的安全性 的文章

 

随机推荐