跟随着互联网的全面倒退，API 这一词频繁呈现在大家的眼帘之中，什么是 API 呢？API 全称 Application Programming Interface，翻译进去叫做“利用程序接口”，是一些事后定义的接口（如函数、HTTP 接口），或指软件系统不同组成部分连接的约定。用来提供应用程序与开发人员基于某软件或硬件得以拜访的一组例程，而又无需拜访源码，或了解外部工作机制的细节。
现在，API 已成为将当今 APP 经济的粘合剂，在 Web 2.0 的浪潮到来之前，凋谢的 API 甚至源代码次要体现在桌面利用上，越来越多的 Web 利用面向开发者凋谢了 API，同时也正在成为黑客攻击的头等指标。
API 的运行形式与 URL 的运行形式大致相同，用户应用 Web 搜寻时，页面展现后果是动静的，以手机银行应用程序为例，API 也以相似的形式运行，它能够获取用户的地理位置、姓名、账号和账户余额，并相应地填充交互页面中的字段，但因为 API 包含所有安全检查，并且通常间接与后端服务通信，所以也更容易被攻击者青眼。
应用程序平安方面始终存在一个问题：输出验证。如果没有适当的性能和平安测试，API 可能会成为一个完满的攻击点。因为 API 受应用程序信赖，能够进行高速、海量数据交换。通过对大量应用程序平安市场客户的考察，并参考凋谢 Web 应用程序平安我的项目 (OWASP) 后，考察人员汇总了 以下三类最常见的 API 破绽：
第一：资产治理不当
此 API 缺点是环境隔离和治理有余的后果，容许攻击者拜访安全性有余的 API 端点，在之前的网络安全事件中，就有因为开发人员 API 无需编辑即可拜访生产数据，进而裸露了客户的零碎，属于此类别的破绽还包含未监控开发 API 中的敏感数据，以及让已弃用的 API 仍处于在线或公开状态。
第二：受损的对象级别受权 Broken Object Level Authorization (BOLA)
BOLA 的艰深定义是对对象拜访申请的验证不充沛，它容许攻击者通过重用拜访令牌来执行未经受权的操作。Peloton 事件是最近诸多 BOLA 利用中比拟有名的一个案例，攻击者能够查看包含标有私人事件在内的，简直所有用户的个人资料。此类攻打可能影响到从开发到经营，再到营销和公共关系的每个业务组。
第三：有效的用户身份验证
此类破绽的精确定义是“身份验证机制中的施行缺点”，容许攻击者假冒非法用户。这里关联两种常见的破绽利用类型：第一个是由自动化机器人执行的凭证填充。查找有用户身份验证缺点的 API 是主动攻打的现实指标。此破绽的更简单用处是进行侦察，以确定 API 的工作形式。例如咱们输出“a@a.com /”明码的用户名 / 明码组合，应用程序显示“明码有效”，那么攻击者就会晓得用户名是无效的。攻击者将应用此数据点来减少凭证填充（或其余类型的攻打）胜利的机会。
API 缺点影响整个企业，而不仅仅是运维团队、平安团队或业务团队，指指点点素来无奈修复问题，修复始于合作，那么如何避免 api 接口被歹意调用或攻打？
1. 图形验证码：
将图形校验码和手机验证码进行绑定，在用户输出手机号码当前，须要输出图形校验码胜利后才能够触发短信验证，这样能比拟无效的避免歹意攻打。目前大部分利用都是采纳这种形式。
2. 限定申请次数：
在服务器端限定同一 IP 地址，同一设施，同工夫范畴内的接口申请次数。比方同一号码反复发送的工夫距离, 个别为 60 或 120 秒；设置每个 IP 每天最大的发送量；设置单个手机号每天的最大发送量。
3. 流程条件限定：
将手机短信验证放在最初进行，比方须要用户必须注册后，或者用不必须填写了某些条件能力进行短信验证。
4. 归属地是否统一：
服务器端检查用户的 IP 所在地与手机号归属地是否匹配，如果不匹配则提醒用户手动操作等。
5. 服务器接口验证：
当用户登录胜利后，返回一个由 Token 签名生成的秘钥信息(Token 可应用 base64 编码和 md5 加密，能够放在申请的 Header 中)，而后对每次后续申请进行 Token 的封装生成，服务器端在验证是否统一来判断申请是否通过。
（1）惯例的办法：用户登陆后生成 token，返回客户端，而后服务器应用 AOP 拦挡 controller 办法，校验 token 的有效性，每次 token 是一样的；
（2）用户登录后生成长期 token，存到服务器，并返回客户端，客户端下次申请时把此 token 传到服务器，验证 token 是否无效，无效就登陆胜利，并生成新的 token 返回给客户端，让客户端在下一次申请的时候再传回进行判断，如此反复。这种办法有性能问题，但也有一个破绽，如果用户在一次申请后，还未进行下一次申请就已被黑客拦挡到登录信息并进行混充登录，他一样能够登录胜利并使用户强制下线，但这种办法已大大减少被混充登录的机会。
（3）两层 token：个别第一次用账号密码登录服务器会返回两个 token，时效长短不一样，短的时效过了之后，发送时效长的 token 从新获取一个短时效，如果都过期，那么就须要从新登录了。当然更简单你还能够做三层 token，依照业务分不同 token。
6. 采纳 https：
线上的 api 接口开启 https 拜访, 这样做的话他人抓包的难度会进步很多，而且 https 须要秘钥替换，能够在肯定水平上甄别是否为伪造的网络非真人 IP 地址。
7. 服务器端代理申请：
针对于网站，这也是解决跨域的计划之一，采纳服务器代理能够无效的避免接口实在地址的裸露。
网络安全举足重要，近几年 API 安全事件也层出不穷，所以，无论是企业用户还是个人用户，肯定要理解 API 存在的破绽以及相干的危险，便于最及时的做好平安防护！