## API安全設計原則
論文“信息的保護計算機系統”,由杰羅姆Saltzer和邁克爾·施羅德,提出8個的設計原則,同樣適用于RESTful-API。
- 最小權限:實體應該只具有所需的權限集來執行授權的操作,而不再執行。可以根據需要添加權限,并在不再使用時撤消。
- 失敗保護默認值:用戶對系統中任何資源的默認訪問級別應被“拒絕”,除非他們已明確授予“許可”。
- 機制經濟:設計應盡可能簡單。所有組件接口和它們之間的交互應該足夠簡單易懂。
- 完全中介:系統應驗證其所有資源的訪問權限,以確保它們被允許且不應依賴緩存的權限矩陣。如果正在撤消對給定資源的訪問級別,但未在權限矩陣中反映,則會違反安全性。
- 開放式設計:該原則強調了以開放的方式構建系統的重要性 – 沒有秘密的機密算法。
- 權限分離:授予實體權限不應完全基于單一條件,基于資源類型的條件組合更好。
- 最不常見的機制:它涉及在不同組件之間共享狀態的風險。如果可以破壞共享狀態,則可以破壞依賴于它的所有其他組件。
- 心理可接受性:它指出安全機制不應使資源更難以訪問,而不是安全機制不存在。簡而言之,安全性不應該使用戶體驗變得更糟。
API描述規范自帶的安全要求
REST API 安全
REST(表述性狀態轉移)API 通常使用 HTTP,并依賴 HTTPS 等機制進行加密、OAuth 進行授權以及 JWT(JSON Web 令牌)進行安全令牌交換。它們的無狀態性質意味著應用程序必須單獨驗證每個請求,從而增強安全性。REST 在選擇安全協議方面的靈活性允許 更容易 但需要仔細配置以防止漏洞。
SOAP API 安全性
另一方面,SOAP(簡單對象訪問協議)API 在其協議中內置了 WS-Security 安全性。SOAP 包括消息完整性、機密性和身份驗證的標準。 SOAP 可以使用安全套接字層 (SSL) 或傳輸層安全性 (TLS) 用于加密. 盡管如此,其消息級安全性確保即使傳輸層受到威脅,消息仍保持安全。SOAP 的嚴格標準使其本質上更安全,但實施和維護也更復雜。
## API安全最佳實踐
REST是一個架構約定,在該約定中,缺少安全特性相關的內容。經過這些年的發展,市場總結了一些REST 的 API安全最佳實踐,有些已經默認實現在網關產品、有些需要開發者自己負責,供大家參考:
1、始終強制使用TLS加密,網關產品可提供
與其他類型的敏感 HTTP 流量一樣,將 TLS 用于 RESTful API 有助于確保對 API 用戶和 API 端點之間的所有通信進行加密。這對于 REST API 安全性和 Web 應用程序安全性同樣重要,因為生成的 HTTP 流量包含敏感的身份驗證詳細信息,如密碼、API 密鑰或令牌。
2、API秘鑰,部分網關產品可提供
API密鑰可用于請求方身份標識,用API秘鑰加密請求內容及響應內容。常用方式有’對稱秘鑰、非對稱秘鑰‘等,避免使用Appcode模式。B2B模式的API網關必用API秘鑰;自有APP到API網關時,常用非對稱秘鑰模式+其它手段來標識‘APP’,避免套殼等風險。
3、身份認證 ,三方產品可提供
認證是指驗證用戶身份的過程,常見的認證方式包括 HTTP Basic 認證、SAML、Token 認證、OAuth 2.0 等。
4、授權模型,三方產品可提供
授權是指驗證用戶是否有訪問特定資源的權限。通過API訪問內部數據和系統的組織必須引入和測試控制來管理這種訪問:何人、內容和時間,以及對數據訪問、創建、更新和刪除的檢查——零信任安全模型。
5、不在URL中包含敏感信息,做URL過濾,開發者負責
一個常見的 REST API 設計缺陷是在 URL 中包含敏感信息,包括用戶憑據、密鑰或令牌。
6、嚴格定義允許的RESTful API請求和響應,開發者負責
— 錯誤處理
— 應始終考慮對輸入進行驗證
— 嚴格管控 REST API 可提供的響應類型。例如,響應應限制為明確允許的內容類型,如 GET、PUT 和 POST。
7、重要ID不透明處理,開發者負責
在系統一些敏感功能上,比如,/user/1123 可獲取 id=1123 用戶的信息,為了防止字典遍歷攻擊,可對 id 進行 url62 或者 uuid 處理,這樣處理的 id 是唯一的,并且還是字符安全的。
8、速率限制,網關產品可提供
設計良好的API還可以應用速率限制和地理速度檢查,以及作為地理圍欄和I/O內容驗證和消毒等策略的執行點。
9、實施持續API發現功能,避免產生新的安全漏洞,三方產品可提供
分析API日志以獲取 API 活動的證據,這將有助于確保您的安全團隊了解企業中正在使用的所有 API。
常用身份驗證模型
RESTful應用程序依賴于API生態系統的底層安全性,而不是在REST架構風格中包含安全性。除了通過HTTPS協議保護RESTful API調用之外,還應使用基于會話的身份驗證。目前,大多數RESTful應用程序利用了OAuth 2.0和Open ID Connect(OIDC)協議。
SAML
安全評估標記語言(SAML)最初由大學設計,以允許其他大學的學生訪問圖書館。基于XML和SOAP是原始的聯合身份系統。在2000年代初期,當互聯網瀏覽器成為主要客戶的時候,SAML被推出。
OAuth 2
OAuth 2創建于2006年,是認證協議的開放標準,通過HTTP提供授權工作流程,并授權設備,服務器,應用程序和API以及訪問令牌而不是憑據。 OAuth從Facebook,Google,Microsoft和Twitter的使用中獲得了普及,他們允許使用他們的帳戶與第三方應用程序或網站共享。
開放ID連接(OIDC)
開放式ID連接(OIDC)擴展了OAuth 2,并將用戶信息(身份層)作為請求的一部分。考慮到SAML的現代版本,OIDC允許一系列客戶端,包括基于Web的移動設備和使用JavaScript的客戶端。
JSON網頁令牌(JWT)
JSON Web Token(JWT)是一種用于創建訪問令牌的開放標準,用于聲明一些聲明。使用[[json|JSON]]編寫的令牌旨在緊湊 – 專注于使用Web瀏覽器,單點登錄(SSO)上下文。雖然不是身份提供商或服務提供商,但JWT用于在身份和服務提供商之間傳遞身份驗證的用戶身份。
RAML
RESTful API建模語言(RAML)是一種旨在描述RESTful API的語言。 RAML是用YAML人類可讀的數據串行化語言編寫的。 RAML的努力首先在2013年提出,并獲得了諸如MuleSoft,AngularJS,Intuit,Box,PayPal,可編程Web和API Web Science,Kin Lane,SOA Software和Cisco等技術領導者的支持。 RAML的目標是提供所有必要的信息來描述RESTful API,從而提供一種更簡單的設計API的方法。
參考資料
REST API 面臨的 7 大安全威脅REST API 安全要點
API 安全性實踐API安全成熟度模型
應用程序接口(API)安全的入門指南 ,大量基礎概念,可以作為清單來用
Web應用風險點有哪些?
擴展閱讀
一站搜索、試用、比較全球API!
試用API,一次比較多個渠道
国内精品久久久久影院日本,日本中文字幕视频,99久久精品99999久久,又粗又大又黄又硬又爽毛片
成人免费小视频|
欧美国产激情二区三区|
色婷婷一区二区|
久久久国产精品不卡|
日日摸夜夜添夜夜添精品视频
|
日韩片之四级片|
亚洲国产精品综合小说图片区|
成人精品电影在线观看|
国产欧美日韩精品一区|
成人av影院在线|
亚洲天堂成人在线观看|
日本大香伊一区二区三区|
亚洲国产精品久久久男人的天堂|
欧美在线一区二区三区|
视频一区二区欧美|
精品国产成人系列|
色94色欧美sute亚洲线路一久
|
国产精品丝袜一区|
欧美亚洲禁片免费|
另类小说欧美激情|
亚洲精品午夜久久久|
91精品国产一区二区人妖|
国产毛片精品视频|
亚洲精品免费一二三区|
日韩亚洲欧美一区二区三区|
精品一区二区综合|
亚洲精品免费电影|
国产三级欧美三级日产三级99
|
国产精品一区二区三区网站|
亚洲激情男女视频|
久久久www免费人成精品|
成人免费看的视频|
午夜激情久久久|
国产拍欧美日韩视频二区|
99国产精品99久久久久久|
韩国欧美国产一区|
亚洲第一综合色|
亚洲女同ⅹxx女同tv|
精品福利在线导航|
欧美日韩国产系列|
色狠狠色噜噜噜综合网|
粉嫩欧美一区二区三区高清影视|
日韩在线a电影|
亚洲地区一二三色|
一级日本不卡的影视|
国产精品色眯眯|
久久众筹精品私拍模特|
日韩一区二区视频|
欧美一区二区三区人|
在线观看日韩精品|
在线观看欧美精品|
在线亚洲一区二区|
色综合天天性综合|
一本久道久久综合中文字幕|
成人av资源在线观看|
国产凹凸在线观看一区二区|
国产在线精品不卡|
国产成人免费网站|
a在线欧美一区|
91丨国产丨九色丨pron|
99久久国产综合精品麻豆|
成人黄色电影在线|
91免费版在线|
91农村精品一区二区在线|
色综合天天综合在线视频|
欧美性淫爽ww久久久久无|
欧美午夜精品理论片a级按摩|
色婷婷香蕉在线一区二区|
欧美午夜精品一区|
日韩视频永久免费|
国产清纯美女被跳蛋高潮一区二区久久w|
欧美最新大片在线看|
在线免费视频一区二区|
成人一区在线观看|
91精品在线一区二区|
ww亚洲ww在线观看国产|
精品污污网站免费看|
亚洲免费观看高清|
激情综合网激情|
久久精品理论片|
成人午夜在线视频|
欧美三级在线视频|
久久久久久久久久久电影|
亚洲欧美另类小说视频|
欧美aaa在线|
av欧美精品.com|
欧美一区二区三区四区久久|
欧美激情在线一区二区三区|
亚洲男同性视频|
国产成人小视频|
欧美日韩高清一区|
中文字幕字幕中文在线中不卡视频|
天天免费综合色|
91免费国产在线观看|
国产欧美日韩综合精品一区二区|
亚洲国产精品自拍|
av动漫一区二区|
精品久久久久久最新网址|
亚洲国产精品一区二区久久|
岛国精品在线观看|
欧美精品一区在线观看|
亚洲成人av中文|
在线观看日韩国产|
亚洲综合区在线|
日本道色综合久久|
中文字幕一区二区三区不卡在线|
国产精品 欧美精品|
精品国产电影一区二区|
久久99在线观看|
精品裸体舞一区二区三区|
另类小说一区二区三区|
欧美电影精品一区二区|
狠狠色狠狠色合久久伊人|
久久综合久久综合久久综合|
久久aⅴ国产欧美74aaa|
欧美电影免费观看高清完整版
|
久久只精品国产|
久久精品国产亚洲一区二区三区
|
五月天欧美精品|
日韩一区二区在线看|
美美哒免费高清在线观看视频一区二区|
欧美日韩国产美女|
免费成人在线网站|
久久亚洲精品小早川怜子|
国产91在线观看丝袜|
亚洲三级小视频|
成人精品视频网站|
欧美网站大全在线观看|
亚洲一区二区在线播放相泽|
欧美视频三区在线播放|
日本视频一区二区三区|
欧美精品一区二区久久婷婷|
东方欧美亚洲色图在线|
日韩毛片在线免费观看|
欧美美女喷水视频|
国产精品一区二区三区99|
亚洲男人的天堂av|
精品国产91九色蝌蚪|
99九九99九九九视频精品|
首页欧美精品中文字幕|
国产视频一区在线播放|
一本大道久久a久久精品综合|
午夜精品久久久久|
国产日韩欧美精品在线|
欧美日韩综合色|
粉嫩嫩av羞羞动漫久久久|
日韩精品一二三四|
日韩理论在线观看|
精品久久久久久综合日本欧美|
91年精品国产|
成人免费看的视频|
日本不卡的三区四区五区|
亚洲天堂av一区|
久久夜色精品国产噜噜av|
91福利国产精品|
成人动漫一区二区三区|
久久国内精品视频|
日日摸夜夜添夜夜添国产精品
|
欧美国产日本韩|
国产丝袜欧美中文另类|
欧美一级久久久久久久大片|
在线观看不卡视频|
色94色欧美sute亚洲线路二|
国产精品白丝av|
国产乱码精品一品二品|
久久精品噜噜噜成人av农村|
免费看黄色91|
婷婷久久综合九色综合绿巨人|
中文字幕在线免费不卡|
91精品国产综合久久福利软件
|
av午夜精品一区二区三区|
国产一区二区久久|
另类调教123区
|
欧洲亚洲国产日韩|
欧美日韩一区成人|
欧美精品精品一区|
在线91免费看|
欧美日本在线观看|
欧美撒尿777hd撒尿|
欧美夫妻性生活|
久久久久久亚洲综合|
国产精品嫩草99a|
伊人开心综合网|
五月综合激情网|
久久精品国产一区二区三|
国产精品一区在线观看乱码
|
久久99国产精品麻豆|
国产成人免费xxxxxxxx|
色婷婷亚洲婷婷|
欧美一区二区啪啪|
国产女同性恋一区二区|
亚洲精品高清视频在线观看|
亚洲成在人线免费|
精品中文av资源站在线观看|
国产一区二区在线影院|
一本高清dvd不卡在线观看|
欧美肥妇bbw|
国产精品少妇自拍|
青青国产91久久久久久|
av电影在线观看完整版一区二区|