正在加载文章...
分享这篇文章
继续阅读
API 承载业务数据、身份信息和自动化流程。只要接口暴露在公网，攻击者就可以尝试枚举、越权、注入、撞库和批量抓取。API 安全不是上线前补一个鉴权中间件，而是从输入校验、权限边界、速率限制和日志审计开始设计。
不要在公网暴露可无限分页、无限游标遍历或批量导出的接口。即使接口需要开放，也要绑定身份、权限、速率限制和审计日志。
一个常见问题是 Mass Assignment。假设 POST /api/user/update 只应该允许用户修改昵称和头像，攻击者却在 JSON 里加入 "isSuperAdmin": true。如果后端直接把请求体映射到数据库模型，就可能写入不该由用户控制的字段。
避免这类问题的做法很明确：
API 安全的基本前提是：外部输入不可信，客户端权限不可信，接口调用频率不可信。先收紧输入字段，再做服务端权限判断，并给高风险接口加限制和审计。很多严重漏洞都来自这几步中的一个缺口。