您的API安全管理做好了吗？

现如今API早已颠覆了程序开发和部署的形式，但另一方面也为企业增强了数据泄漏和黑客攻击风险。充分考虑API管理着重要作用，如网络服务器间通信、数据处理方法和IT信息系统集成，维护API的安全性针对维持业务流程的正常使用尤为重要。

API安全性在一定程度上取决于强悍的访问控制和有效控制凭据。但是，这便是很多企业在API安全层面不成功的地区。因为API在IT经营的身后运作，凭据非常容易被安全团队忽略，造成API赢得了广泛访问管理权限，却缺乏适度严格监管。

在本文中，你将掌握比较常见的API安全风险性，充分了解一些良好实践来缓解潜在的风险。你将掌握网络攻击怎样找到和运用API凭据来访问你的IT自然环境。通过这个专业知识，大家可以更全面地了解你的API安全情况，并正式实施高效的API安全操纵。

无论您是API设计者、依靠API的云系统架构师，还是致力于减少风险的信息安全性专业技术人员，这种信息也将帮助你提高企业的API安全性。

最先，让我们来看一下API工作原理

改善API安全性的第一步是准确了解API工作原理。API重新定义了开发者用以要求及使用远程控制应用程序或者服务里的信息或服务的方法与数据类型。

1.   API的种类

API的方式不尽相同，按照其目的不一样，能够帮助你明确潜在性的安全风险，并为您带来相关应该采用的API安全技术性和策略专业指导。

以下属于常见的一些API种类：

Web API

库或架构API

电脑操作系统API

数据库系统API

硬件配置API

云API

付款API

地图所在位置API

信息传递API

物联网技术（IoT）API

数据信息API

自定API

2.   凭据对API安全性的影响

凭证是API安全不可或缺的一部分，有着API凭证工作人员被授权向API发出请求，便于与API所提供的隐秘数据、应用程序或Web服务项目进行交互。API凭证2个构成部分针对提升API安全尤为重要。

API密钥/动态口令（API Key/Token）：这是一个唯一的字母数字字符串数组，作为身份核查的一种形式。API服务提供者向开发者或应用程序给予该密钥/动态口令，并且在开展安全API请求时做为身份证件。

密钥（Secrets）：某些情况下，API密钥或动态口令与密钥匹配，密钥是仅API服务提供者和经授权应用程序知晓的信息保密信息。该密钥用以形成数据加密签字或执行其他与API安全有关操作。

API安全良好实践包含自动生成密钥和密钥对，为不同的应用程序采用不同的密钥和密钥对，定期开展密钥和密钥正确的交替，并且在无需再时删掉他们。当代权利访问管理方法（PAM）保鲜库会自动管理方法这些过程，乃至可以通过达到迅速开发进度和DevOps工作内容所需要的速率进行监管。

3.   访问控制对API安全产生的影响

API访问控制明确谁能够访问什么网络资源并实施特殊实际操作。大家可以通过多种方式调节API访问控制的“谁、哪些和什么时候”，以提升API的安全性。

身份认证（Authentication）：你可以选择应用API密钥、动态口令或其它身份认证方式（如OAuth 2.0）来检验传出API请求用户或应用程序身份。对于很多应用程序而言，单点登陆（Single-Sign-On）在平台上开展身份认证。

受权（Authorization）：大家可以通过界定人物角色、管理权限和策略来决定通过身份认证的用户或应用程序允许其实行操作。

修饰符（Scopes）：你可以在身份认证过程中使用修饰符来衡量特殊的权限，进而对用户或应用程序能够访问的API内容进行粗粒度操纵。

会话管理（Session Management）：根据动态口令的身份认证尽量使用危险的对话Cookie。根据保证动态口令具备适度的到期日期并且可以被吊销，能提高API的安全性。

选用粗粒度的访问控制方式有利于依据最少管理权限标准来维护API，使工作人员及系统只有访问与使用所需要的数据与作用。权利访问管理方法（PAM）解决方法允许您设定根据风险访问控制，给予及时、正好所需要的访问管理权限，以提升API的安全性。

如今，让我们来看一下设计方案API时的安全考虑到

除开管理方法API凭据和权利访问以外，设计方案良好实践能够帮助你改善API的安全性。在创建自己的API时，必须认真检查其配备正确与否，以减轻系统漏洞。如果你采用的是第三方定制的API，请于把它整合到IT环境里以前确定这些要素是不是已经到位，以防止引进系统漏洞。

一定要记住查验以下几点：

速度限定/流控-大家可以限制用户或应用程序在特定时间范围之内能够进行的API要求频次。这能够防止对API的乱用或故意乱用，可能会导致服务水平降低。

数据加密-应用数据加密维护数据存储和传递。应用HTTPS（TLS/SSL）进行全面传送数据。应用行业标准加密技术对数据格式进行加密。

异常处理-向服务端给予通用性错误信息，且不公布相关系统软件的敏感信息。

键入认证-验证和清除全部键入，以避免SQL引入、XSS和其它注入攻击。

网关配置-如果你的API用以云环境，必须确保API网关ip恰当配备。

具体内容安全设置（CSP）-执行CSP头顶部以限制需要由你的API载入的内容来源，降低XSS进攻风险。

跨域请求资源整合共享（CORS）-配备CORS对策以降低能够访问你的API的域。

文件传送-如果你的API适用文件传送，请验证和清除已上传文件，以避免出现文件包含攻击恶意程序提交等安全隐患。

补丁更新-不断更新全部API元件的安全更新。

下面，让我们一起看看假如不遵照这种良好实践可能发生什么原因。

键入认证不够：无法恰当验证和清除用户输入可能造成各种类型进攻，如SQL加入、xss漏洞（XSS）和指令引入。网络攻击很有可能通过这些系统漏洞实行恶意程序或访问未经授权的数据信息。

认证和授权不够：明文密码或实施不正确的认证和授权体制可能会使未经授权的用户或应用程序可以访问敏感API或执行未经授权的实际操作。这可能导致数据泄漏或未经授权的网络资源实际操作。

欠缺速度限制或流量监控：欠缺速度限制或流量监控体制可能会使API容易受暴力攻击或拒绝服务攻击（DoS）进攻，网络攻击会通过一系列要求来超重API，造成业务间断或网络资源耗光。

网络层安全性不够：无法应用适度的数据加密与安全通讯协议（如HTTPS（TLS/SSL））很有可能会暴露在服务端和API中间传输隐秘数据，使之非常容易被拦截或伪造。

不正确疏忽大意：给予详尽的不正确信息，泄漏相关系统软件的敏感信息，很有可能协助网络攻击掌握API结构和潜在性系统漏洞。重要的是要执行不表露多余细节上的通用性不正确信息。

监测和日志纪录不够：欠缺全方位的监测和日志纪录实践活动可能造成无法检验和应对安全事故或异常现象。及时地监测和日志纪录能够提供对潜在性攻击行为问题的识别性，从而加强API的安全性。

伴随着API的普遍使用和意义的提升，维护API免遭潜在性的安全威胁攻击变得尤为重要。API安全性不单单是技术难点，也关系到公司的声誉、客户认可和业务持续性。一个问题或缺点可能造成隐秘数据泄漏、互联网服务终断、客户损害以及法律和信用问题。因而，为保证API的安全性，公司要采取综合性安全预防措施，包含身份认证和授权、数据库加密、键入认证、异常处理和访问控制等。与此同时，大家也要认识到API安全性是一个持续的过程，必须全方位安全防范意识和跨职能团队的协作。根据持续推进API安全性，我们能确保系统和信息得到很好的维护，并为消费者提供可靠的服务项目。