- 综合排序
- 最热优先
- 最新优先
- 来自专栏云云众生s
4个API安全最佳实践
通过添加 API 网关并使用 OAuth 或 OpenID Connect 基于访问令牌进行授权，您可以缓解许多主要的 API 安全风险。 译自 4 API Security Best Practices，作者 Judith Kahrer。 API 是现代数字解决方案的支柱。因此，API 安全应该成为首要的业务关注点。 如果您考虑以下两个要点，您将为您的 API 安全奠定良好的基础： 使用 API 网关。 使用访问令牌进行授权。 让我详细说明它们的优势，并展示如何发展您的 API 安全。 1. 避免常见风险 使用 API 网关和访问令牌进行授权，可以避免常见的 API 安全风险。 4. 提升 API 安全性 通过添加 API 网关并使用 OAuth 或 OpenID Connect 基于访问令牌进行授权，您可以缓解许多主要的 API 安全风险。
1.3K10编辑于 2024-07-15 - 来自专栏madMen
2019 年针对 API 安全的 4 点建议
原文：4 Tips for Better API Security in 2019 译者：neal1991 welcome to star my articles-translator, providing 实际上，API 安全的要求正在成为一种共识： 在 2017 年 12 月的报告“如何构建有效的API安全策略中，”Gartner 分析师 Mark O'Neill， Dionisio Zumerl 许多组织甚至仍然不知道他们部署了多少 API，是否有人使用 API，或者 API 是否正在推动流量。 当然，与 API 相关的违规和安全事件的数量越来越多，证明了 API 安全的重要性。 以 TLS 为基础 “传输层安全性”或 TLS 加密流量，有助于确保客户端与正确的服务器通信，并且是 API 安全性的基础。API 不应该没有它。 如果企业对 API 安全保持合适的关注，那么将会尽可能地确保2019年 那些 API 安全地头条将会是其它公司的违规。 [对管理API和推动数字业务的更多提示感兴趣？
1K20发布于 2019-11-26 - 来自专栏Khan安全团队
API 安全清单
对于私有 API，仅允许从列入白名单的 IP/主机进行访问。 API keys 使用 API Gateway 服务来启用缓存、速率限制策略（例如Quota、Spike Arrest或Concurrent Rate Limit）并动态部署 API 资源。
2.1K20编辑于 2022-01-14 - 来自专栏charlieroro
API安全综述
因此，在实现数字化转型项目时，需要重点考虑APIs的安全性。 在上一篇文章中已经讨论了与API认证有关的问题，本文关注与API安全有关的其他重要因素，以及对应的解决方案。 目录 API安全综述 API调用中的访问控制 token颁发过程中的访问控制 API调用过程中的访问控制 消息防护 后端服务的安全性 基于分析的安全性 APIs治理 API部署防护 API调用中的访问控制 除了模式校验，API层也应该提供阻止如SQL注入、PHP注入、Javascript注入的有害内容。可以在API网关侧以一组正则表达式的方式实现这类防护。图4描述了在API网关实现了消息级别的防护。 Figure 4: API网关上基于JSON模式、内容移除策略和TLS的载体防护 上图中使用了两组证书，API网关会卸载客户端证书，并使用后端证书加密通信。 API部署防护 仅使用API管理平台或API网关是无法防护APIs的。对API安全性来说，根据安全架构来部署API平台模块、后端服务和其他组件也是一个重要任务。 ?
1.5K20发布于 2021-07-13 - 来自专栏腾讯安全
腾讯API安全公测重磅开启，你的API安全吗？
9月28日，腾讯安全正式启动API安全公测，联动腾讯Web应用防火墙、腾讯安全威胁情报、腾讯天御业务安全等能力，帮助企业全面识别API风险，针对性收敛API暴露面，构建全面、智能、精准的API安全防御体系 2、强调开发速度和灵活性，忽略构建API安全：更多企业转向采取敏捷开发模式，但在提升软件构建效率的同时，企业对于如何构建API安全性缺少合适的方法，难以顾及API安全。 4、企业低估API风险，造成安全措施遗漏：构建应用的过程中，企业对于可能存在的安全风险较为乐观，防护措施不足，低估了上线后API被攻击的可能性。 （OWASP API Security Top 10）腾讯API安全产品聚焦API防御体系打造腾讯API安全聚焦API防御体系打造，以异常暴露面管理为首个突破重点，助力企业全面清点API资产、智能发现API 05: 联动腾讯天御、威胁情报能力内置腾讯天御业务安全能力、腾讯安全威胁情报能力，全面识别API资产的网络安全风险及业务安全风险，提供联动防护。
92030编辑于 2022-09-29 - 来自专栏用户8610644的专栏
腾讯API安全公测重磅开启，你的API安全吗？
9月28日，腾讯安全正式启动API安全公测，联动腾讯Web应用防火墙、腾讯安全威胁情报、腾讯天御业务安全等能力，帮助企业全面识别API风险，针对性收敛API暴露面，构建全面、智能、精准的API安全防御体系 2、强调开发速度和灵活性，忽略构建API安全：更多企业转向采取敏捷开发模式，但在提升软件构建效率的同时，企业对于如何构建API安全性缺少合适的方法，难以顾及API安全。 4、企业低估API风险，造成安全措施遗漏：构建应用的过程中，企业对于可能存在的安全风险较为乐观，防护措施不足，低估了上线后API被攻击的可能性。 （OWASP API Security Top 10）腾讯API安全产品聚焦API防御体系打造腾讯API安全聚焦API防御体系打造，以异常暴露面管理为首个突破重点，助力企业全面清点API资产、智能发现API 05: 联动腾讯天御、威胁情报能力内置腾讯天御业务安全能力、腾讯安全威胁情报能力，全面识别API资产的网络安全风险及业务安全风险，提供联动防护。
91130编辑于 2022-09-29 - 来自专栏安全播报
腾讯API安全公测重磅开启，你的API安全吗？
9月28日，腾讯安全正式启动API安全公测，联动腾讯Web应用防火墙、腾讯安全威胁情报、腾讯天御业务安全等能力，帮助企业全面识别API风险，针对性收敛API暴露面，构建全面、智能、精准的API安全防御体系 2、强调开发速度和灵活性，忽略构建API安全：更多企业转向采取敏捷开发模式，但在提升软件构建效率的同时，企业对于如何构建API安全性缺少合适的方法，难以顾及API安全。 4、企业低估API风险，造成安全措施遗漏：构建应用的过程中，企业对于可能存在的安全风险较为乐观，防护措施不足，低估了上线后API被攻击的可能性。 腾讯API安全产品聚焦API防御体系打造腾讯API安全聚焦API防御体系打造，以异常暴露面管理为首个突破重点，助力企业全面清点API资产、智能发现API动态变化及风险趋势、精准识别API暴露面及敏感数据 05: 联动腾讯天御、威胁情报能力内置腾讯天御业务安全能力、腾讯安全威胁情报能力，全面识别API资产的网络安全风险及业务安全风险，提供联动防护。
98510编辑于 2022-09-28 - 来自专栏API技术
API 安全最佳实践
因此，确保强大的 API 安全机制对于保护敏感信息和维护系统的完整性至关重要。在本篇文章中，我们将深入研究 API 的安全性，并通过使用 C# 的实际示例探索一些基本机制。 API安全简介API 安全是为了防范未经授权的访问、数据泄露以及其他潜在风险而采取的一系列实践和技术。如果没有足够的安全措施，API 很容易受到各种威胁，包括数据泄露、拒绝服务攻击和恶意利用。 EmailAddress] public string Email { get; set; } [Required] [StringLength(8, MinimumLength = 4) ● 使用安全密码散列算法（例如 bcrypt）来存储密码。 ● 对关键操作实施双因素身份验证。在研发流程之外，开发者也可以采用API集成平台更好地关注API安全。 通过整合这些最佳实践，开发人员可以构建强大且安全的 API，从而为更安全的数字生态系统做出贡献。原文链接：Best Practices of API Security.
1.7K10编辑于 2023-12-20 - 来自专栏Linyb极客之路
浅谈API安全设计
一、简述 安全是恒久的话题，如果不注意防范，会带来很严重的后果。 比如： 1.接口被大规模调用消耗系统资源，影响系统的正常访问，甚至系统瘫痪 2.数据泄露 3.伪造（篡改）数据，制造垃圾数据 4.App被仿制… 那么我们设计API时，就要保证RESTful API的安全性 、初始时，服务端存有各App版本的SIGN_KEY，客户端存有对应版本的SIGN_KEY 2、当要发送请求之前，通过签名方法加密，得到一个sign 3、发送请求的时候，连同sign一起发送给服务器端 4、 总结 如此便实现了请求认证，防止数据篡改，重放攻击，但是需要确保App密钥(SIGN_KEY)的安全保存，其优点是容易理解与实现，缺点是需要承担安全保存密钥和定期更新密钥的负担。
92210编辑于 2022-03-10 - 来自专栏FunTester
API安全的概览
因此，API 安全性变得至关重要。在确保数据隐私和系统完整性的同时，采取适当的 API 安全措施是防范潜在攻击的关键。 通过漏洞评估和及时的补丁管理，可以降低系统受到已知漏洞攻击的风险，提高 API 的整体安全性。 API生命周期管理 API 安全考虑贯穿整个 API 生命周期，从设计和开发到部署和退役。 安全性应该集成到 API 生命周期的每个阶段，包括设计审查、安全测试和安全部署实践。 设计阶段： 在 API 的设计阶段，开发团队应该进行设计审查，确保安全性考虑已经被纳入到 API 的构建中。 有效地利用安全功能也是 API 安全的关键。利用现代的 API 管理工具，监控和审计 API 的使用情况，检测异常活动。实施有效的日志记录和报警系统，及时发现和响应潜在的安全威胁。 综上所述，通过提高参与 API 生态系统的各方人员的安全意识，培训他们如何有效地应对安全挑战，实施最佳实践和利用现代安全功能，可以显著增强 API 及其交互系统的安全状况。
71810编辑于 2024-02-03 - 来自专栏刘君君
API 网关的安全
摘要: 本篇文章是总结工作中遇到的安全问题 正文: API 网关的安全 XSRF/CSRF 跨站请求伪造(Cross-site request forgery)是一种挟制用户在当前已登录的web程序上执行非本意的操作的攻击方法 这个字段用以标明请求来源于哪个地址，看其url是否与要请求地址位于同一域名下 添加校验Token,恶意网站的请求不带Token无法通过校验 XSS 跨站脚本(Cross-site scripting)是一种网站应用程序的安全漏洞攻击 block-all-mixed-content;connect-src 'self' uploads.github.com status.github.com collector.githubapp.com api.github.com unsafe-inline' assets-cdn.github.com X-Frame-Options:SAMEORIGIN 这个页面只允许同源页面加载 Http-Only 保护cookie JWT的安全 但是服务端既然无状态，Token在客户端存储位置就是一个问题 存放位置 存在Cookie,要使用Http-Only 保护cookie 存在Local Storage 无法防止XSS LocalStorage 的API
1.8K50发布于 2018-06-07 - 来自专栏FreeBuf
为什么API网关不足以保证API安全？API安全之路指向何处
人们想要减轻面临的 API 安全威胁，需要正确的安全实施战略和程序。另外，为了保证 API 的安全还应该制定一个包含审计标准、变更控制系统、管理流程、访问控制措施等在内的管理计划。 为什么API网关的安全性还不够好？ 我们应该把 API 网关和 API 安全区别开来，不能混为一谈。前者的访问控制功能，仅仅是 API 安全的一部分。 正如 OWASP API 十大安全文件总结的一样，API 安全威胁同样包括许多伴随传统 Web 应用程序攻击的漏洞。 可能危及API安全的三个常见风险 处理 API 数量的方法乏善可陈 缺乏关于公共的、合作伙伴的、私人的和复合的 API 总数的信息，使安全团队无法理解一个 API 的真正暴露和风险。 小企业 API 安全问题缺乏关注 相较于大型企业，小企业无法提供必要的措施来充分保障其数据，因此所拥有的安全性较低，面临的安全风险也会增多。
60520编辑于 2023-03-30 - 来自专栏全栈程序员必看
mt4数据api接口_外汇api
1、MT4API交易接口是什么？ MT4Api接口是跨平台多账号交易接口，是将MT4交易通道以API的方式聚合在一起，帮助开发商在各经纪商不提供manager后台账号、无须EA插件的情况下，也能轻松接入不同的MT4交易平台，完成登录、交易和订单查询的功能 2、MT4API的协议传输方式 MT4 API接口是基于MT4的底层通讯格式，进行模拟信息传输的方式实现了实时通信，这不仅摆脱了MT4系统的限制，能够通过搭建第三方环境来实现和券商服务器通信，还摆脱了券商 相对 MT4 本身的交易客户端， MT4API 提供更快速的访问实时价格行情和交易访问连接。 4、MT4 API提供了哪些业务功能？ MT4API交易接口跟随迈达克的更新而更新的，一年在约有一到两次的更新频率，一旦更新，有些MT4平台还可以使用，如果MT4服务商也同步更新完，则对应的MT4平台账号则无法使用，对应的软件需要同步更新MT4API
3.8K22编辑于 2022-09-30 - 来自专栏Tencent Serverless 官方专栏
使用腾讯云 API 网关保护 API 安全
因此，API 安全正受到业界和学术界的广泛关注，开放 Web 应用程序安全项目（OWASP）在 2019 年将 API 列为最受关注的十大安全问题。 本文将带您了解如何使用腾讯云 API 网关保护 API 安全，为您的业务保驾护航。 在腾讯云 API 网关上一般可以通过 9 种方式来保护 API 安全： 1. 链路加密； 2. 认证鉴权； 3. 请求映射与转换； 4. 参数校验； 5. IP 访问控制； 6. 跨域访问控制 CORS； 7. 流量监控与保护； 8. DDoS 防护能力； 9. 腾讯云 API 网关目前主要有 4 种鉴权方式，分别是： 免鉴权 任何用户无需鉴权即可通过 API 网关。 应用认证 分发密钥对给用户，API 调用方通过密钥对生成签名，使用签名进行请求。 IP 访问控制 API 安全防护过程中经常需要针对 IP 地址进行安全防护，API 网关针对此场景提供了 IP 访问控制能力，主要用于限制 API 的调用来源 IP，可以通过配置某个 API 的 IP
8.7K21发布于 2021-09-15 - 来自专栏学而时习之
【Elasticsearch】4. Search API
Search API URI Search：在URL中使用查询参数 Request Body Search：使用Elasticsearch提供的，基于json格式的更加完备的Query Domain Speacific filtering image (3).png 如果_source 没有存储，那就只返回匹配的文档的元数据 _source 支持使用通配符 脚本字段 eg：订单中有不同汇率，需要对不同汇率进行结算排序 image (4)
81250发布于 2020-12-15 - 来自专栏悠扬前奏的博客
MyBatis-4.Java API
注意联合映射在注解API中是不支持的。这是因为Java注解的限制,不允许循环引用。 @Many N/A <collection> 映射到复杂类型的集合属性。 注意 联合映射在注解 API中是不支持的。这是因为 Java 注解的限制，不允许循环引用 @MapKey 方法 这是一个用在返回值为 Map 的方法上的注解。
1.1K40发布于 2019-05-30 - 来自专栏全栈程序员必看
HTTP API接口安全设计
API接口调用方式 HTTP + 请求签名机制 HTTP + 参数签名机制 HTTPS + 访问令牌机制 有没有更好的方案？
1K20编辑于 2022-07-07 - 来自专栏BestSDK
REST API 安全设计指南
REST API 安全设计指南。 但其缺少安全特性，《REST API 安全设计指南》就是一个REST API安全设计的指南，权当抛砖引玉，推荐网站后台设计及网站架构师们阅读。 2.2 API KEY API Key就是经过用户身份认证之后服务端给客户端分配一个API Key，类似：http://example.com/api? 4、URL过滤 在进入逻辑处理之前，加入对URL的参数过滤，如 ? （4）在传输过程中，采用SSL保证传输安全。 （5）存储安全，重要信息加密存储，如认证信息hash保存。 总之，尽量使用SSL。
3.6K80发布于 2018-02-27 - 来自专栏Linyb极客之路
RESTFUL API 安全设计指南
但是这种方式安全性较低，就是简单的将用户名和密码base64编码放到header中。 base64编码前：Basic admin:admin base64编码后：Basic YWRtaW46YWRtaW4= 放到Header中：Authorization: Basic YWRtaW46YWRtaW4 2.2 API KEY API Key就是经过用户身份认证之后服务端给客户端分配一个API Key，类似：http://example.com/api? 2.4 JWT JWT 是JSON Web Token，用于发送可通过数字签名和认证的东西，它包含一个紧凑的，URL安全的JSON对象，服务端可通过解析该值来验证是否有操作权限，是否过期等安全性检查。 （4）在传输过程中，采用SSL保证传输安全。 （5）存储安全，重要信息加密存储，如认证信息hash保存。 总之，尽量使用SSL。
1.9K20发布于 2018-11-22 - 来自专栏纯洁的微笑
如何保证API接口安全？
一、摘要 在实际的业务开发过程中，我们常常会碰到需要与第三方互联网公司进行技术对接，例如支付宝支付对接、微信支付对接、高德地图查询对接等等服务，如果你是一个创业型互联网，大部分可能都是对接别的公司api 当你的公司体量上来了时候，这个时候可能有一些公司开始找你进行技术对接了，转变成由你来提供api接口，那这个时候，我们应该如何设计并保证API接口安全呢？ 2、timestamp 表示时间戳，当请求的时间戳与服务器中的时间戳，差值在5分钟之内，属于有效请求，不在此范围内，属于无效请求 3、nonce 表示临时流水号，用于防止重复提交验证 4、signature 但是缺少对数据自身的安全保护，即请求的参数和返回的数据都是有可能被别人拦截获取的，而这些数据又是明文的，所以只要被拦截，就能获得相应的业务数据。 同时，在生产环境，采用https方式进行传输，可以起到很好的安全保护作用！
2K10发布于 2021-07-01
腾讯云开发者
Copyright © 2013 - 2026 Tencent Cloud. All Rights Reserved. 腾讯云 版权所有
深圳市腾讯计算机系统有限公司 ICP备案/许可证号：粤B2-20090059 
粤公网安备44030502008569号
腾讯云计算（北京）有限责任公司 京ICP证150476号 | 京ICP备11018762号