创作者丨Artem Arzamas
译员丨陈峻
方案策划丨孙淑娟
【51CTO.com快译】文中简易回望了 API 的进步历史时间，其基本要素、作用、有关协议书、及其应用情景，关键探讨了与之有关的不一样安全性因素、危害、验证方式、及其十二项出色实践活动。
依据有统计的历史时间，伴随着 Salesforce 的市场销售自动化技术解决方法的发布，第一个 Web API 在 1990 年末发生了。在那个时候，它是一种每个人可以浏览到的对外开放資源。Salesforce 的自动化技术专用工具由 XML 推动。而用于互换该专用工具信息的数据类型，之后被认可为 SOAP API 规范。它有着与容许或严禁各种各样要求密切相关的信息文件格式标准、及其特殊于编码的标准。换句话说，大部分开发工作人员除开必须对于 API 的开发和建立开展需要的 SOAP 解决，也要手动式将 XML 文本文档与 RPC 协作应用。以后，开发工作人员还必须表述 API 的节点，并将 SOAP 模块公布到该节点处。这不但是 API 的问世，也算得上 SaaS 定义的逐渐。
而营造当代 API 的核心事情，离不了 Flicker 和 Facebook API 的发布。Flicker 开发了一个根据云端备份数字图像处理的服务平台，该网站根据开发 API，适用跨过不一样网站的图象共享，并融合了各种各样相片共享设备的新式服务项目。
到了 2008 年，API 演变变成可以单独实际操作，并可以解决很多互联的信息。Twilio 根据发布一个 API，可便捷客户联接电話、短消息等全部商品所需每个一部分。
什么叫 API?
针对新手而言，API 就是指为2个不一样的运用中间完成顺畅通讯，而制定的运用程序设计插口。它通常被称作应用软件的“中介人”。因为大家必须维护客户的拥有数据信息、及其运用自身的一致性，因而 API 的安全系数是一种“刚性需求”。
而针对开发工作人员来讲，API 是一个很好的专用工具。它可以在微服务架构和器皿中间互换信息，并完成节奏快的通讯沟通交流。正如集成化和互联针对运用开发的必要性那般，API 在某种意义上，推动并加强了程序的设计方案。
API 盛行互联网技术
在移动互联网的初期，API 做为专用协议书，在互联网中通常被用于受到限制的地区、目地或机构，让不一样网络结构的通讯与测算变成很有可能。当 Web 2.0 发生后，根据 Web 的专用工具普遍不断涌现，大家逐渐开始应用 REST (REpresentational State Transfer Framework)这一小区开发标准，来搭建具体使用的 API 插口，例如大家常用的 OpenAPI。
在现如今的 Web 3.0 时期，API 在 IoT 和 AI 推动的设施中间的通讯中，充分发挥着非常重要的功效。API 的基本要求 - 回应现代性也变化变成了量化策略的方法。
API 测试用例
API 做为便捷信息交换的基本元素，被普遍用于 Web 应用软件的开发行业。现阶段，业内最常应用且极为关键的 API 测试用例，有如下所示种类：
单页应用程序流程(SPA)
REST API 不仅可以加快单页应用程序流程的开发，并且可以帮助运用将全部內容放到一张网页页面上，以给予详细的客户体验。在使用的开发全过程中，程序猿可以应用预订义的 CSS、JavaScript 和 HTML 文档，来运行 Web 网络服务器间的通讯。留意，REST 架构通常被用于服务端的通讯，及其对于特殊种类架构的手机客户端信息交换。
常被用于 SPA 开发的 REST API 架构包含：NancyFx、Express.js 和 ASP.Net WebAPI。做为无状态的架构，REST API 不容易遭受手机客户端为每一个要求去启用一到好几个网络服务器的困惑。因而应用 REST API 开展 SPA 开发，可以提升使用的扩展性。显而易见，这不仅缓解了开发者为拓展应用软件而投入的成本费，而且清除了运用针对浏览特殊資源的要求。
在 SPA 开发中，除开 REST API 文本文档以外，沒有别的原素会被关联到手机客户端和云服务器上。因而，这类自觉性推动了运用在开发、检测和布署阶段的操作灵活性。而这正好是动态性网页框架所不能做到的。
公共性 API、私有云的 B2B
一直以来，电話、发传真和电子邮箱一直是 B2B 经营的具体通讯方式。殊不知，为了更好地达到根据物联网平台的信息交换的要求，RESTful API 可以在自动化技术的私有云 B2B 通讯层面，充分发挥至关重要的功效。
从用户的方面看来，公布公共性 API 会促使公司可以建立朝向顾客的应用软件，而且利润最大化与外部的通讯沟通交流实际效果。与此同时，因为公共性 API 容许 B2B 手机客户端拓展各种各样根据客户的个人行为，因而它促使工作流程得到充足解耦，并在没有提升费用压力的条件下，提高了根据设备(machine-based)的可扩展性。
私有化 API 与内部结构 API 服务项目
应用私有化 API，B2B 顾客可以减少投入市场的時间，并在加快开启新的运用和道具的与此同时，不容易对目前工作内容导致短板。在管理方法内部结构工作流引擎时，私有化 API 可以为公司找到必须重新组合和智能化更新改造的可组成(composable)行业。而做为一个创造力的全过程，可组成的业务模型可以将繁杂的作用溶解为，便于解决的小型一部分。私有化 API 根据适用内部结构每个等级的高效率通讯，推动了网络资源的战略应用。
因为内部结构 API 给予了应对各种各样很有可能造成可操作性常见故障，及其提升系统软件构件反应时间的详尽信息，因而它促使商务智能剖析的結果更为精确。并且在应用私有化 API 后，运用的协同和信息交换工作能力也会显得更为迅速且安全性。
服务网格
做为基础设施建设层的部件，服务网格具备极度的可配备性和低延时性。通常，它被用于在网络架构中，解决规模性的内部结构通讯。根据有效地应用网格图，开发者可以保障各种各样与容器化和临时性运用有关的迅速、安全性且稳定的信息交换。
API 可以被用于服务网格中的信息交换。但是当网格图的数据信息平面图与根据操作系统的每一个数据或要求开展沟通时，状况会复杂化很多。因而，应用通用性数据信息平面图(Universal Data Plane)和 xDS 等 API 可以简单化该类工作中。他们可以查验体系的身体状况，监管其特性、路由器各种各样传到或传来要求、以负荷共享的方法均衡系统软件总流量，及其根据服务发现的方法，来发觉与客户受权有关的操作失误。
挪动后面
做为一种新型的服务项目交货实体模型，挪动后面通常被用于挪动改进方案的开发中。被称作挪动后面即服务项目(Mobile Backend as a Service，MBaaS)的开发实体模型，充足给与了开发工作人员维护保养网络服务器和服务器有关设备的随意，主要包括：用户服务、消息推送通告和社交媒体登陆软件等部件。
MBaaS 的各种資源会应用灵便的 SDK，去联接 API 的节点。例如，MBaaS 会应用 Flutter、Unity、Iconic 和 React Native 等技术性，为 Android 和 iOS 电脑操作系统开发前面运用。与此同时，MBaaS 服务平台的各种各样 API 可以为开发工作人员在工作流管理、通告升级和每日任务整体规划等层面产生自动化技术。
除此之外，这种 API 可以转化成一个网络层，以保持在各种各样系统软件和所采用的服务项目中间，开展无缝拼接的信息交换。开发工作人员还可以为新加入的客户群集，设计方案各种各样根据需要的服务项目。
物联网技术(IoT)
因为物联网设备必须接入到手机客户端、或别的互联网消费者的设施上，以进行信息的互换，因而在应用 API 时，通常免不了曝露互换信息。因此，开发工作人员必须建立充足安全性的、根据前后文的运用，而不能立即应用 UI 与外界开展互动。
REST API 是现阶段用于物联网设备真正情景的、最广泛的 API，它根据互联网协议来开展信息交换。除此之外，REST API 也容许开发工作人员执行身份认证和受权对策。
不一样人心中的 API
API 的多元性通常会被用以不一样的应用领域中，而不一样人物的开发人员，针对 API 拥有不一样的了解。
后端工程师：
- 架构：一个构造优良的整体规划或发展战略，它界定了操控和工作流程的工作方式。
- 标准：一种根据 Swagger 的文本文档，可叙述 REST 或 OpenAPI 等作用。例如，与 Geo PC 內容有关的某类 GraphQL 方式。
- 数据信息和领域模型：后端工程师工作人员更喜欢在手机客户端(例如，移动智能终端或电脑浏览器)中间分离出来数据信息和逻辑性。这将有益于他们自己的编码或数据信息，例如，单页面应用和移动智能终端可以应用同样的信息与 API，去解决各种各样自定的集成化。
- 统一的挪动、Web 和集成化后面，可以提高和简单化同歩的全过程。
DevOps：
- 达到工作环境的标准：例如，假如节点常常回到 502 不正确得话，您就应当考虑到应用 API，来进行修补。
- 扩展性：假如节点必须根据拓展，来处理 504 不正确得话，您必须找到与此相关的微服务架构、最好步骤、及其处理问题的方位(例如，对于 GraphQL 的 REST API)。
API 的原理流程表
安全性：
- 新的协议书：怎么看待服务器防火墙、扫描机和别的旧专用工具终止更新的问题?
- 东 - 西向(East-west，即每个后面运用与数据库查询中间，差别于大家常说的南 - 朝北)安全性：在互联网内欠缺对通讯的优良监管。
- 新的安全性、互联网或别的 IT 部件的合规要求。
API 安全防范措施
如前所述，API 与 API 安全性是紧密联系的。这些安全系数较弱的 API，通常非常容易曝露，且受网络黑客的进攻。而因为 API 适用于互换信息内容、联接服务项目和传送数据，因而一旦发生数据泄漏，便会给公司产生巨大的损害。
API 的各种各样验证方式
在授于用户访问限制以前，大家必须验证这些查询或编写 API 资源的用户的身份，以避免 API 被不恰当地应用。
1、根据服务器的验证
该全过程根据验证服务器或服务器，以确保仅有通过验证的用户，才可以浏览到布署在服务器上的资源。大家并不一定一切密匙、或其它方法，来运行该全过程。可是，服务器应当有实力根据即时验证登陆密匙，以操纵 DNS 蒙骗、路由器蒙骗、及其 IP 蒙骗等事情。
在步骤和完成方法上，根据服务器的验证与 RSA 十分类似。默认设置状况下，我们可以无须设定一切主要参数。根据服务器的用户验证，可以由管理人员根据为当地服务器建立公钥、或获取用以当地服务器的公匙来进行。
2、基本上验证
这也是最立即的 API 真实身份确定计划方案之一。因为手机客户端推送含有预搭建标头的 HTTP 请求，因而，该方式应用 HTTP 协议书和过程，来请求和验证用户名和登陆密码等凭证。该类查验通常是在电脑浏览器驱动器的条件中进行的。
因为可以获得绝大部分电脑浏览器和服务器的适用，因而该类身份验证所应用到的凭证详细资料，可以密文方式在互联网上共享资源，或仅应用 base64 开展编号。它不仅可以在各类代理商服务器上运作，并且可以将访问限制授于这些并没有代管在 IIS 服务器上的资源。因为缺乏数据加密的维护，因而它非常容易遭受播放等方法的进攻。
3、OAuth
做为一种可定做的敞开式 API 真实身份验证技术性，OAuth 可以根据验证用户真实身份和界定受权规范，完成运用与服务器、及储存类 API 的互动。
当有些人登录系统时，它会根据请求动态口令的方法，去验证用户真实身份。因此，本人或请求的创始人务必将浏览资源的请求，分享到真实身份验证服务器上。服务器从而会依据验证的結果，对请求给予接纳或回绝。
对比别的步骤，OAuth 更加安全性，因而它变成了很多用户的优选。OAuth 的三个重要因素包含 OAuth 服务提供者(如 Google 和 Facebook)、OAuth 手机客户端(指承重数据的网址 / 网页页面)、及其使用者(指明确提出浏览请求的用户)。
4、OAuth 2.0
做为 OAuth 的更新版本，OAuth 2.0 是一种被普遍采用的 API 浏览管理方法协议书。其作用包含利用应用 HTTP 服务项目，来运行手机客户端运用，从而限定 API 手机客户端的浏览。GitHub 和 Facebook 都是在其至关重要 HTTP 服务项目的真实身份验证编码中，应用到了该协议书，从而免除了用户凭证。
OAuth 2.0 的三个重要因素分别是：有着数据信息的用户、应用软件和 API 自身。在真实身份验证的历程中，该方式 可以比较容易地分析到应用不一样资源的用户数据信息。它可以依据验证目地，被布署到根据 Web、挪动及桌面上的程序与机器设备中。
5、SAML
安全性结论标记语言(Security Assertion Markup Language，SAML)，是应用单点登录技术性开展真实身份验证的规范化 API 步骤。它会依据用户给予的详细资料来开展验证。仅有进行验证，用户才会被授于对于各种各样应用软件或资源的访问限制。现阶段，SAML 2.0 是被广泛采用的版本号。它与 ID 十分相近，可以帮助进行针对用户真实身份的评定。
API 安全性代表着哪些?
API 安全性不但致力于维护这些立即或间接性曝露给用户的 API，还牵涉到节流阀、速度限定等网络信息安全标准，根据真实身份的安全性剖析，及其如下所示至关重要的安全管理定义：
密钥管理
限制网速
OAuth 受权与資源网络服务器
速度限定、配额
各种各样浏览规则的概念和执行
最高值维护
统一监管和执行
内容验证
监控和而剖析
键入/輸出内容验证
根据人工智能技术的异常检测
组织与方式规则
各种各样API启用的次序查验
根据签字的危害检验
自然地理护栏和速率查验
API 协议
API 可以按照不一样的要求，以形式多样和款式被应用。而不一样的应用方法也确定了 API 执行的安全系数。
SOAP
简易目标浏览协议(Simple Object Access Protocol，SOAP)是一种根据 XML 的消息传送与通讯协议。该协议可以拓展 HTTP，并为 Web 服务项目给予传输数据。应用该协议，我们可以轻轻松松地互换包括着全部內容的文档、或远程控制启用过程。与例如 CORB、DCOM 和 Java RMI 等别的架构的不同点取决于，SOAP 的全部消息全是被写在 XML 中的，因而它可以单独于各种各样语言表达。
REST
做为根据 HTTP 协议的 Web 规范构架，REST 对于每一个未处理的 HTTP 要求，可以应用四种形容词：GET、POST、PUT 和 DELETE。针对开发人员而言，RESTful 构架是了解 API 作用和行为表现的非常简单专用工具之一。它不仅可以促使 API 构架便于维系和拓展，并且便于了内、外界开发人员去浏览 API。
gRPC
做为一个开源系统的性能卓越架构，gRPC 改善了老款的远程控制过程启用(Remote Procedure Call，RPC)协议。它应用 HTTP/2 这类二进制帧传送协议，简单化了手机客户端和后面服务项目间的通讯和消息传送过程。
彻底轻量的 gRPC，要比 JSON 快 8 倍以上。它可以借助开源系统技术性协议启用缓冲区域，并对结构型的消息选用了一种与服务平台不相干的实例化文件格式。在 API 的应用中，开发人员可以根据 gRPC，找到应当启用和评定变量值的每个过程。
Webhook
Webhook 可以将自动生成的消息，从一个应用软件发送至另一个应用软件。也就是说，它可以在2个运用中间即时创建、推送、获取升级的通讯。
因为 Webhooks 可以包括重要信息内容，并将其传递到第三方网络服务器，因而我们可以根据在 Webhooks 中实行基本上的 HTTP 身份验证、或者 TLS 身份验证，来确保 API 的有关安全性实践活动。
WebSocket
WebSocket 是一种远程数据传输协议，可以在手机客户端和服务器进行给予完善的远程数据传输安全通道，从而填补了 HTTP 协议的局限。
运用手机客户端可以应用 WebSocket 来建立 HTTP 联接要求，高并发赠给网络服务器。当复位通讯联接被创建以后，手机客户端和网络服务器都能够应用现阶段的 TCP/IP 联接，依据基本上的消息架构协议，传送数据与信息内容。
XML-RPC
XML-RPC 可以根据规范化的通讯过程，完成 WordPress 和其他软件中间的互相通讯。它应用 HTTP 做为传送的方式，应用 XML 做为编号过程。其工作中编码被储存在坐落于网址网站根目录的 xmlrpc.php 文档中。做为 WordPress 3.5 版的默认设置选择项，XML-RPC 可以让移动智能终端与根据 Web 的 WordPress 安裝过程，完成无缝拼接的互动。
但是，针对每一个浏览要求来讲，因为 xmlrpc.php 可以共享资源身份验证的详细资料，因而它提高了暴力行为进攻和 DDoS 攻击的概率。对于此事，我们在选用 XML-RPC 的 API 时，必须提高有关安全性实践活动。
JSON-RPC
针对初学者来讲，JSON-RPC 是一种超轻型的 RPC 协议，可以用来开发根据以太币区块链技术的 API。它选用 JSON(RFC4627)做为主要的数据类型，具备表述和解决好几个算法设计与标准的工作能力。该协议可以根据同样的tcp协议被多次应用。
MQTT
MQTT 是 OASIS 认同的消息协议，已被普遍地用在物联网设备和专用工具开发行业，完成了 HTTP 种类的信息交换。因为十分轻便，因而它可以让开发人员可以一次性拓展到数百万台机器设备上。在 API 安全系数层面，MQTT 不仅可以帮助完成消息数据加密，并且可以简单地运用 TLS 和身份验证。
AMQP
做为一个开放式的协议，高級消息序列协议(Advanced Message Queuing Protocol，AMQP)要求了消息服务提供者的个人行为过程，可以被使用到网络层上，建立互操作性式的系统软件。因为是选用二进制完成的，因而该协议不仅适用各种各样朝向消息的分布式数据库通讯，并且可以保证消息的全方位投妥。
XMPP
做为一整套完全免费的源技术性，XMPP 可用以开发多方面合作、及时消息、多方面闲聊、微信视频聊天、及其轻量分布式数据库等行业。它的四个至关重要部件包含：PHP、MySQL、Apache 和 Perl。
CoAP
做为一种由 RFC 7252 界定的 IETF 规范，CoAP 可以被作为规范化的 API 安全性协议，来管束物联网设备上的运用。因为 CoAP 可以可以根据 LPWAN 开展通讯，因而它是维护简易微处理器连接点的最好的选择。CoAP 工作中在 TCP/IP 层，并选用 UDP 做为主要的传送协议。
云、当地和混和布署中的 API 安全性
云服务器、集成化服务平台和 API 网关ip等技术领域的发展趋势，促使 API 服务提供商们可以以很多种方法来维护 API。可以说，对于搭建 API 所挑选的技术栈种类，会对维护 API 造成立即的危害。例如，一个大中型机构很有可能会采用好几个含有自研 API 的应用软件。而在她们合拼各种各样运用的过程中，很有可能会导致各种各样 API 荒岛的发生。这种荒岛通常便是事故隐患的所属。
在异构体生态体系中，跨 API 荒岛的特殊 API 安全性基础架构，可以被配备为 sidecar、sideband 代理商，置入到云空间与当地的布署中间。因为具备相对高度可扩展性，因而该类安全性配备可以便捷一切走向未来的技术性，轻轻松松地传送或获取 API。
API 安全性层
API 安全层应该是多层面的构造。每个方面各尽其责，较大水平地给予可靠维护。
API 发觉
API 安全性的第一层是 API 发觉，终究假如不清楚总体目标与危害，谈何怎样执行维护。如前所述，API 荒岛是阻拦安全性工作人员发觉 API 的主要问题。因为缺乏 API 的由此可见性，它将立即防碍 API 访问限制的管理方法。
身影 API 是 API 由此可见性的第二大阻碍。当 API 做为运用的一部分被开发时，通常仅有开发工作组组员对其了然于胸，而安全性工作人员对该类“身影 API”的执行关键点不为人知。
第三大阻碍就是 API 版本管理。在应用软件的生命期中，其 API 通常必须不断开展梯度下降法。但是最新版本的 API 通常不可以马上且全方位地更换掉旧的版本号。因为客户端运用版本号各有不同，因而旧版的 API 必须依据向后兼容的要求，再次运作一段时间。之后呢?他们会慢慢离去开发精英团队的视线，乃至被遗弃。这一切都是悄悄地产生的。
因而，API 发觉其实是 API 服务提供者和伤害中间的比赛。假如服务提供者可以在网络攻击以前发觉以上类别的 API，那麼她们便可以从 API 网关ip、负载均衡器、及其立即内联的数据流量中获取 API 的总流量数据库，并根据专业的模块，生产制造高效的 API 目录汇报，便于与 API 高管上的可以用 API 文件目录开展较为。
API 安全性的 OWASP 十大安全危害
API1:2019 目标等级受权的缺点
通常，API 节点根据发觉解决目标的标志符，来获得密钥管理方面的攻击。大家要对于由手机客户端给予的信息，开展逐一查验。
API2:2019 用户认证的缺点
攻击者通常会运用获得到的动态口令、或认证系统软件的实行缺点，来假冒合理合法客户，并实行操作错误。
API3:2019 过多的信息曝露
攻击者可以根据 API 的启用，合理合法获得的数据信息，推测一些条目地有关属性，从而挑选出各种各样好用的信息。
API4:2019 系统资源不足和过流保护
通常，API 不容易对被启用的信息开展总流量或总数上的限定。而这就给攻击者留有了进行拒绝服务攻击(DoS)等占领資源类攻击的机遇。
API5:2019 作用级受权的缺点
有一些 API 在错综复杂的浏览控制方法上并不完备，乃至含有受权上的缺点。这会造成攻击者可以根据调用函数，得到别的用户可以启用的資源。
API6:2019 大批量分派
为了更好地提高工作效率，以 JSON 方法为客户给予信息的实体模型，通常会给予大批量分派(Mass Assignment)，而不用依据实际的批准名册，开展合理合法的属性挑选。由此，攻击者可以根据认真阅读配套设施文本文档，来预测出目标的属性、搜索到不一样的 API 节点、或在要求负荷中挖掘附加的属性，从而对他们开展伪造。
API7:2019 安全性配备的不正确
安全性配备的不正确通常来源于不完备的默认设置设计方案、随便的编辑、对外开放的分布式系统、HTTP 标头的失衡、比较宽松的跨域请求财产共享(Cross-Origin asset sharing，CORS)、及其包括着隐秘数据的冗杂不正确系统消息等层面。
API8:2019 引入
攻击者的有危害信息很有可能会骗得键入查验，在没经适度检测的情形下，运用 SQL 或 NoSQL 的缺点，实行故意指令或获得信息。
API9:2019 投资管理不合理
API 通常可以发觉比基本 Web 运用大量的节点，这促使适度地升级配套设施文本文档就变得特别关键了。对于此事，大家需要不断健全 API 的有关报表，及时处理这些未被计入的节点。
API10:2019 日志和监管不够
欠缺日志纪录和查验，再加上事情回应能力不足，都是会给 API 启用产生被攻击的危害。
网站渗透测试
开发者可以考虑到应用 Postman 代理商的预创建的 API 数据测试，立即与 API 开展通讯。根据迅速且不断地进行对于 API 的网站渗透测试，我们可以在减少检测成本费的根基上，获得完整的汇报。
因为网站渗透测试必须对总体目标 API、乃至全部体系都十分娴熟，因而大家最好是聘用娴熟的安全性精英团队、或应用开源系统的专用工具，去仿真模拟对于 API 的攻击。根据按时且连续的网站渗透测试，开发者将可以立即寻找合乎 API 维护等级的防范措施。
12 项 API 安全性的出色实践活动
由以上探讨得知，API 的安全系数针对以统计数据为核心的应用程序开发而言，是极为重要的。下边我们一起来探讨对于 API 的差异种类与环节的安全性出色实践活动。
1、应用数据加密
为了更好地预防破译类的攻击，大家要对这些被用以内、外界通讯的 API，应用 TLS 加密方式，并布署端到端的数据加密。
2、API 验证
如前文上述，身份认证可以保证 API 不容易被陌生人所立即应用。与此同时，根据 API 密匙或浏览验证，我们可以踪调 API 資源的启用。自然，该类安全防范措施也会提高体系的执行难度系数。
3、灵活运用 OAuth 和 OpenID Connect
OAuth 和 OpenID Connect 的融合可以为 API 的身份认证和 / 或受权，担负所有的义务。例如，在认证全过程中，API 的顾客和服务提供者均不立即开展受权实际操作，反而是让 OAuth 做为委托合同，为 API 加上一个主要的防护层，并在这个基础上让 OpenID Connect 规范做为附加的真实身份层，应用 ID 动态口令去拓展 OAuth2.0。
4、安全性权威专家
应对多种多样 API 安全性实践活动，您或许都会犯得“选择纠结症”。这时，阅历丰富的安全性权威专家可以引导您应用适宜的病毒防护系统软件、及其 ICAP(Internet Content Adaptation Protocol)网络服务器，来搭建牢固的 API 安全性趋势。
5、不断监管、财务审计和日志纪录
常言道，防止胜于填补。我们可以在 API 设计方案之初，就设定好待监管与纪录的指标值;而在业务系统的运用全过程中，根据合理的汽车仪表板去追踪 API 的互动，并立即核查有关纪录与不正确信息。与此同时，在之后的校准与版本升级阶段，请别忘记让全部的 API 都得到同歩。
6、仅共享比较有限的信息
记牢，您根据 API 共享出来的信息越少，API 本身的安全风险性就越小。与此同时，您也应该保证在不正确信息中，公布的信息尽量地少。
除此之外，应用 IP 详细地址的授权管理与信用黑名单，是限定 API 資源浏览的好方法。它可以确保仅有已受权工作人员或运用，才可以比较有限地浏览 API 資源，并维持插口上重要信息的隱藏性。
7、过流保护和配额制维护
请依据后端系统、具体网络带宽、及其网络服务器的运输能力，有效地限定比较有限总数的信息，去浏览一些 API，从而可以高效地预防 DDoS 攻击的危害。
8、合理的数据信息
网络服务器理应对接纳到的任何內容，开展2次查验与认证。一切增加的內容、巨大的数据、及其由交易端共享来的信息，都应该通过认证。现阶段，JSON 和 XML 认证是二种被用来查验主要参数安全系数的最普遍专用工具。与此同时，他们还可以操纵 SQL 引入、及其 XML 定时炸弹等事情。
9、强劲的基础设施建设
根据执行全新的安全性互联网技术、新式网络服务器与负载均衡手机软件，我们可以在基础设施建设的层次上维持 API 的安全系数，使之可以抵挡大信息量的泄漏攻击。
10、关心 OWASP Top10
根据上文剖析，您可以看出，OWASP 列举和阐释出的十大 API 系统漏洞危害，是一些最多见的攻击危害方法。他们不仅针对 Web 网页页面，针对 API 的各种各样系统漏洞也具备较强的不良影响。因而，大家必须事前搞好编码级的防护工作中。
11、应用 API 服务器防火墙
为 API 搭建服务器防火墙可以带来两层面的益处：
- 可用以实行基本上的安全大检查，例如：查验信息的尺寸、被 SQL 引入的概率、及其是不是可以马上阻隔攻击。
- 可在局域网络内部结构融进目前的安全防护管理体系，协作提升总体安全性趋势。
12、布署 API 网关ip
不论是供内部网应用，或是供外网地址启用，API 所在的自然环境通常既繁杂又风险。因而，为了更好地缓解管理方法 API 的工作压力，我们可以根据布署 API 网关ip，对 API 的有关总流量开展全方位的操纵、监管和维护。
译者详细介绍
陈 峻 (Julian Chen)，51CTO 小区编写，具备十多年的 IT 项目实施经验，擅于对外部环境資源与风险性执行监管，潜心散播互联网与信息安全专业知识与经验;不断以博闻、专题讲座和译文翻译等方式，共享前沿科技与新思维;常常以网上、线下推广等方法，进行信息安全类学习培训与讲课。
原文连接：https://dzone.com/articles/api-security-beginners-guide
【51CTO译稿，协作网站转截请标明原文译者和来源为51CTO.com】
