如何免費調用有道翻譯API實現多語言翻譯
客戶端和服務器之間的事務包括向特定端點發出的請求，該請求由基本 URL（服務器域名）、方法（URL 的路徑部分）和可選參數組成。請求指定要使用的方法（通常稱為動詞），并可能包含正文（通常為 JSON 或 XM L）。
服務器在驗證請求的身份和授權后，會處理請求并返回響應，其中包括指示請求狀態的 HTTP 響應代碼。響應可能以不同格式和編碼方案返回數據負載。
全球 API 的數量正在迅速增長，Postman 報告稱，去年增長率為 39%。Gartner 預計，到 2022 年，90% 的 Web 應用程序在 API 中暴露的攻擊面將比在 UI 中暴露的攻擊面更多，API 濫用將成為最常見的攻擊媒介。API 對攻擊者有很大吸引力，因為它們通常通過記錄在案的終端節點暴露在外，攻擊工具可以輕松自動化攻擊。
API 的普遍性、相對容易攻擊的特性以及暴露的數據價值，使得 API 安全成為安全和風險專業人員的首要任務。幸運的是，開發人員可以通過一些成熟的模式和實踐來有效降低 API 漏洞的風險。
保護 API 的第一步是深入了解 API 的基本元素，包括：
傳輸層安全性 (TLS) 協議用于確保通過 TCP/IP 網絡的安全通信。它加密數據以防止在傳輸過程中被竊聽，并確保客戶端能夠驗證服務器的完整性（通過證書檢查）。盡管證書管理曾是一個挑戰，但有了 Let’s Encrypt 等服務提供商，證書部署變得更加簡單。所有新的 API 開發都應將保護通信網絡作為首要任務。
公共 API 作為企業的門戶，必須防止拒絕服務 (DoS) 攻擊。攻擊者可能會發起自動化攻擊，影響合法用戶的性能，甚至耗盡服務器資源。速率限制可以緩解這些問題，限制從特定 IP 地址到終端節點的重復訪問。這通常通過 API 網關或專用防護產品（如 WAF 或 API 防火墻）來實現。
訪問控制是 API 安全的核心，包含兩個方面：
無身份驗證
對于只讀的公共 API，可能不需要身份驗證，通常用于信息和狀態查看。
基本身份驗證
基本身份驗證是一種過時的方法，通過將用戶名和密碼編碼為 Base64 字符串進行傳輸，缺乏安全性，不建議用于新設計。
會話 Cookies
通過登錄頁面進行身份驗證后，客戶端存儲會話 Cookie 進行后續請求。這種方法存在泄露和生命周期管理問題，也不推薦使用。
承載者認證
通過使用用戶憑證的哈希值來改進基本身份驗證，但仍存在中間人攻擊的風險。
API 密鑰
API 密鑰是常用的身份驗證方法。服務器生成密鑰供客戶端使用，客戶端通過標頭提交密鑰進行驗證。雖然 API 密鑰適合服務 API，但在客戶端應用程序中的安全存儲和生命周期管理仍然是挑戰。
OAuth 2.0
OAuth 2.0 是廣泛使用的身份驗證和授權標準，允許客戶端通過授權服務器驗證身份并獲得訪問令牌。最常用的流包括授權碼流程和使用 PKCE 的授權代碼流程，后者增強了安全性，適用于無法存儲客戶端密鑰的應用。
OpenID Connect (OIDC)
OpenID Connect 是建立在 OAuth 之上的身份層，支持通過 JWT 令牌獲取用戶信息，如用戶名和電子郵件，并驗證信息的完整性。
授權
一旦確定客戶端身份，服務器需要評估其訪問資源的權限。訪問控制通常在請求級別和對象級別進行。復雜的授權要求最好使用專用庫或框架（如 Open Policy Agent）來處理。
JSON Web 令牌 (JWT)
JWT 用于在客戶端和服務器之間安全傳輸信息。JWT 由標頭、聲明和簽名組成。標頭提供有關算法的信息，聲明部分包含服務器特定的數據，簽名用于驗證消息的完整性。JWT 的廣泛使用要求在生產環境中小心處理，以避免常見的陷阱。
有效的 API 安全性理想地建立在完善的 DevOps 流程的基礎上。以下是 API 生命周期中關鍵的安全階段和最佳實踐：
強大的 API 安全性從設計階段開始，以確保充分考慮以下內容：
API 后端的構建是確保 API 安全的關鍵因素：
設計優先方法的一個主要優點是能夠利用工具自動化測試：
某些 API 保護措施應在網關級別實施：
許多優秀的 API 網關可用于主要云平臺：
Web 應用程序傳統上依賴 WAF 來抵御攻擊：
API 微防火墻通過積極的安全模型強制執行 OAS 合同：
API 生命周期的最后一個要素是主動監控：
API 安全還包括從設計到運營的全過程治理：
了解常見的 API 攻擊方法可以幫助開發人員更好地保護 API。以下是主要的攻擊方法及其防御措施：
描述：惡意爬蟲程序用于抓取大量數據或 PII。
防御措施：
描述：攻擊者試圖獲取有關 API 及其終端節點的知識。
防御措施：
描述：通過使服務器過載來使 API 脫機。
防御措施：
描述：使用常見密碼字典攻擊 API。
防御措施：
描述：利用密碼重置進程或其他手段接管賬戶。
防御措施：
描述：惡意爬蟲抓取整個數據存儲，或利用分頁功能遍歷所有頁面。
防御措施：
這些防御措施有助于減少常見的 API 攻擊風險，并增強 API 的安全性。
OWASP 組織發布了專門的 OWASP API 安全 10 大漏洞，描述了前 10 個最常見的 API 漏洞類別。以下是主要的 API 漏洞及其防御措施：
描述：身份驗證損壞或缺失是 API 漏洞的主要原因。常見問題包括未受保護的終端節點、令牌和密鑰泄漏、用戶憑據公開和密碼重置機制濫用。
防御措施：
描述：這些漏洞允許用戶訪問不屬于他們的對象。攻擊者通過操縱對象標識符來探測不良的實現。
防御措施：
描述：用戶能夠訪問未授權的 API 終端節點或功能。根本原因是缺乏適當的授權檢查。
防御措施：
描述：
描述：包括錯誤的操作或運行時配置，如缺少傳輸加密、接受未使用的 HTTP 方法、冗長的錯誤消息和不必要的 HTTP 標頭。
防御措施：
描述：包括輸入注入（SQL、命令、LDAP 等）、缺乏數據清理、使用易受攻擊的庫或組件、框架配置錯誤等問題。
防御措施：
這些漏洞和防御措施有助于確保 API 在開發和部署過程中的安全性。通過實施這些防御策略，開發人員可以顯著減少 API 面臨的安全風險。
要提高 API 的安全性，可以采取以下幾種最佳實踐：
描述：傳輸層安全性（TLS）應作為所有 API 端點的標準配置。確保正確配置安全標頭，并處理證書的輪換過程。
措施：
描述：OAuth2 標準提供了成熟的身份驗證和授權機制，避免自己設計和實現復雜的身份驗證工作流。
措施：
描述：確保 API 密鑰和令牌的安全性，避免明文存儲或提交到版本控制系統中。
措施：
描述：在 API 的每個函數端點實施訪問控制時，使用中央授權終端節點或授權框架來避免實現錯誤。
措施：
描述：刪除未使用的 HTTP 方法（如 DELETE、OPTIONS、PATCH）以減少攻擊面。
措施：
描述：通過設置配額和速率限制來防止拒絕服務攻擊和大規模數據泄露。
措施：
描述：利用云平臺提供的 API 網關服務和定制的 API 微防火墻來加強 API 安全。
措施：
描述：積極管理和審查 API 清單，識別和處理過時或棄用的 API。
措施：
描述：依賴成熟的標準庫來處理常見模式和工作流程，避免自行實現可能存在安全漏洞的功能。
措施：
這些措施有助于保護 API 免受各種安全威脅，并確保其安全性和可靠性。
開發人員在確保 API 的功能性和安全性方面面臨著顯著挑戰。為了保護 API 不被攻擊者利用或破壞，安全性應貫穿 API 開發的整個生命周期。以下是關鍵點：
通過結合這些方法和工具，開發人員可以顯著提高 API 的安全性，確保 API 在抵御各種安全威脅方面表現良好。
原文鏈接：REST API Security Essentials
