API 安全成为新的主战场

发布时间:2026-08-13 09:43

页面端的防护越做越厚，攻击者就绕过页面，直接打页面背后的接口。API（应用程序编程接口）安全由此取代网页安全，成了攻防的新主战场。 接口暴露面比想象的大 一个中等规模的系统，对外和对内接口动辄几百上千个。文档不全、负责人离职、临时接口用完没下线，都会产生"影子接口"——没人认领却在生产环境活着。攻击者喜欢这类接口：没纳入防护，版本老，鉴权常缺失。 鉴权缺失是重灾区 常见错误有三类：接口只用静态 key，泄露后无过期机制；水平越权没防住，把请求里的用户 ID 换一个数字，就能读到别人的订单；内部接口误以为"地址没人知道"就裸奔，扫一遍网段全露出来。规范的思路是每个请求都要验证三件事：身份是否合法、是否有权访问该资源、请求频率是否正常。网关层统一记录调用的账号、来源和耗时，出了事有迹可循。 数据爬取的灰色地带 接口返回结构化数据，恰好方便批量拉取。爬虫用代理池换地址，按比正常略低的频率抓取，风控阈值稍宽就拦不住。应对是组合拳：接口按用户维度限流，异常访问模式识别，关键数据接口加签名与时间戳校验。限流参数示例： # Nginx 层按地址限流：每秒 10 个请求，允许突发 20 limit_req_zone $binary_remote_addr zone=api:10m rate=10r/s; 企业该做什么 先把接口资产盘出来：从网关、代码仓库、流量三处对账，找出影子接口统一收编到网关管理。再统一鉴权和限流基线，新接口上线走同一套模板。之后对核心数据接口定期做越权测试，用两个普通账号互相访问对方资源的用例跑一遍。 接口是机器对机器的通道，没人用肉眼看它，漏洞存在的时间往往比页面漏洞长得多。把接口当资产管理，是这件事正确的起点。