跟随着互联网的全面倒退，API这一词频繁呈现在大家的眼帘之中，什么是API呢？API全称Application Programming Interface，翻译进去叫做“利用程序接口”，是一些事后定义的接口（如函数、HTTP接口），或指软件系统不同组成部分连接的约定。 用来提供应用程序与开发人员基于某软件或硬件得以拜访的一组例程，而又无需拜访源码，或了解外部工作机制的细节。

现在，API 已成为将当今APP经济的粘合剂，在Web 2.0的浪潮到来之前，凋谢的API 甚至源代码次要体现在桌面利用上，越来越多的Web利用面向开发者凋谢了API，同时也正在成为黑客攻击的头等指标。

API的运行形式与URL的运行形式大致相同，用户应用Web搜寻时，页面展现后果是动静的，以手机银行应用程序为例，API也以相似的形式运行，它能够获取用户的地理位置、姓名、账号和账户余额，并相应地填充交互页面中的字段，但因为API包含所有安全检查，并且通常间接与后端服务通信，所以也更容易被攻击者青眼。


应用程序平安方面始终存在一个问题：输出验证。如果没有适当的性能和平安测试，API可能会成为一个完满的攻击点。因为API受应用程序信赖，能够进行高速、海量数据交换。通过对大量应用程序平安市场客户的考察，并参考凋谢Web应用程序平安我的项目 (OWASP) 后，考察人员汇总了以下三类最常见的API破绽：

第一：资产治理不当

此API缺点是环境隔离和治理有余的后果，容许攻击者拜访安全性有余的API端点，在之前的网络安全事件中，就有因为开发人员API无需编辑即可拜访生产数据，进而裸露了客户的零碎，属于此类别的破绽还包含未监控开发API中的敏感数据，以及让已弃用的API仍处于在线或公开状态。

第二：受损的对象级别受权Broken Object Level Authorization (BOLA)

BOLA的艰深定义是对对象拜访申请的验证不充沛，它容许攻击者通过重用拜访令牌来执行未经受权的操作。Peloton事件是最近诸多BOLA利用中比拟有名的一个案例，攻击者能够查看包含标有私人事件在内的，简直所有用户的个人资料。此类攻打可能影响到从开发到经营，再到营销和公共关系的每个业务组。

第三：有效的用户身份验证

此类破绽的精确定义是“身份验证机制中的施行缺点”，容许攻击者假冒非法用户。这里关联两种常见的破绽利用类型：第一个是由自动化机器人执行的凭证填充。查找有用户身份验证缺点的API是主动攻打的现实指标。此破绽的更简单用处是进行侦察，以确定API的工作形式。例如咱们输出“a@a.com /”明码的用户名/明码组合，应用程序显示“明码有效”，那么攻击者就会晓得用户名是无效的。攻击者将应用此数据点来减少凭证填充（或其余类型的攻打）胜利的机会。

API 缺点影响整个企业，而不仅仅是运维团队、平安团队或业务团队，指指点点素来无奈修复问题，修复始于合作，那么如何避免api接口被歹意调用或攻打？

1.图形验证码：

将图形校验码和手机验证码进行绑定，在用户输出手机号码当前，须要输出图形校验码胜利后才能够触发短信验证，这样能比拟无效的避免歹意攻打。目前大部分利用都是采纳这种形式。

2.限定申请次数：

在服务器端限定同一IP地址，同一设施，同工夫范畴内的接口申请次数。比方同一号码反复发送的工夫距离,个别为60或120秒；设置每个IP每天最大的发送量；设置单个手机号每天的最大发送量。

3.流程条件限定：

将手机短信验证放在最初进行，比方须要用户必须注册后，或者用不必须填写了某些条件能力进行短信验证。

4.归属地是否统一：

服务器端检查用户的IP所在地与手机号归属地是否匹配，如果不匹配则提醒用户手动操作等。

5.服务器接口验证：

当用户登录胜利后，返回一个由Token签名生成的秘钥信息(Token可应用base64编码和md5加密，能够放在申请的Header中)，而后对每次后续申请进行Token的封装生成，服务器端在验证是否统一来判断申请是否通过。

（1）惯例的办法：用户登陆后生成token，返回客户端，而后服务器应用AOP拦挡controller办法，校验token的有效性，每次token是一样的；
（2）用户登录后生成长期token，存到服务器，并返回客户端，客户端下次申请时把此token传到服务器，验证token是否无效，无效就登陆胜利，并生成新的token返回给客户端，让客户端在下一次申请的时候再传回进行判断，如此反复。 这种办法有性能问题，但也有一个破绽，如果用户在一次申请后，还未进行下一次申请就已被黑客拦挡到登录信息并进行混充登录，他一样能够登录胜利并使用户强制下线，但这种办法已大大减少被混充登录的机会。
（3）两层token：个别第一次用账号密码登录服务器会返回两个token，时效长短不一样，短的时效过了之后，发送时效长的token从新获取一个短时效，如果都过期，那么就须要从新登录了。当然更简单你还能够做三层token，依照业务分不同token。

6.采纳https：

线上的api接口开启https拜访,这样做的话他人抓包的难度会进步很多，而且https须要秘钥替换，能够在肯定水平上甄别是否为伪造的网络非真人IP地址。

7.服务器端代理申请：

针对于网站，这也是解决跨域的计划之一，采纳服务器代理能够无效的避免接口实在地址的裸露。

网络安全举足重要，近几年API安全事件也层出不穷，所以，无论是企业用户还是个人用户，肯定要理解API存在的破绽以及相干的危险，便于最及时的做好平安防护！