文档建议反馈控制台
首页
学习
活动
专区
圈层
工具
MCP广场
文章/答案/技术大牛
发布

API OWASP 标准

API 管理 API 通过 API 管理发布 API 在开发人员门户中可见 API 只能通过 API 管理网关访问 请求 API 时强制执行速率限制 对 API 进行更改时会自动维护规范 针对标准规范的每次更改验证端点规范...端点深度最多为 2 个资源（示例 /projects/123/tasks/345） 已应用样式指南中的其他命名样式 API 有版本控制 版本控制策略最适合所选 API 管理平台和主要 API 使用者？...HTTP 状态码 404 用于错误的 URL 400 -responses 有特定错误的附加信息（例如缺少必需的属性） 当 API 使用者使用错误的凭证时使用 401 -response 403 使用有效但请求...API 使用者无法访问的端点或尝试使用他们不允许执行的操作 500 - 当存在 API 使用者无法通过更改请求来解决的内部处理问题时响应 500 -responses 具有特定于应用程序的错误代码...应用其他标准代码？ 如果使用 ISO 标准中的地理坐标？ 有效负载本地化支持或可通过 API 访问的本地化值？ 支持错误消息本地化吗？

3.3K20

REST 服务安全

如果 REST 服务正在访问机密数据，应该对服务使用身份验证。如果需要为不同的用户提供不同级别的访问权限，还要指定端点所需的权限。...可以按照“下载用于 IRIS 的示例”中的说明下载整个示例，但在 GitHub 上打开例程并复制其内容可能更方便。在例程中，修改 applicationName 的值并根据需要进行其他更改。...权限是与资源名称组合的权限（例如读取或写入）。使用管理门户： 定义在规范类中引用的资源。定义提供权限集的角色。例如，角色可以提供对端点的读取访问权限或对不同端点的写入访问权限。...对于 info 对象，添加一个名为 x-ISC_RequiredResource 的新属性，其值是以逗号分隔的已定义资源列表及其访问模式 (resource:mode)，这是访问 REST 服务的任何端点所必需的...注意：如果调度类为 SECURITYRESOURCE 指定了一个值，并且 CSPSystem 用户没有足够的权限，那么这可能会导致登录尝试失败时出现意外的 HTTP 错误代码。

1.3K10
    • 您找到你想要的搜索结果了吗？
    是的
    没有找到

    从0开始构建一个Oauth2Server服务 发起认证请求

    你的应用程序唯一应该用它做的就是用它来发出 API 请求。某些服务将使用 JWT 等结构化令牌作为其访问令牌，如自编码访问令牌中所述，但在这种情况下，客户端无需担心解码令牌。...事实上，尝试解码访问令牌是危险的，因为服务器不保证访问令牌将始终保持相同的格式。下次您从该服务获取访问令牌时，完全有可能采用不同的格式。...如果你想知道你的访问令牌是否已经过期，你可以存储你第一次获得访问令牌时返回的到期生命周期，或者只是尝试发出请求，如果当前一个已经过期了。实际上，没有太大区别。...我们在Signing in with Google中完成了 userinfo 端点工作流程的完整示例。...，则意味着您现有的刷新令牌将在新访问令牌过期时继续工作。

    1.4K30

    未检测到的 Azure Active Directory 暴力攻击

    image.png 用户尝试访问 Azure AD。 Azure AD 识别出用户的租户配置为使用无缝 SSO 并将用户的浏览器重定向到自动登录。 用户的浏览器尝试访问 Azure AD。...image.png image.png 如果身份验证成功，DesktopSSOToken 访问令牌将发送到 Azure AD。 表 1 列出了可能返回的错误代码。...并非所有错误代码都表示暴力尝试。例如，错误 AADSTS50053 表示用户名和密码正确，但帐户被锁定。...错误代码 解释 AADSTS50034 该用户不存在 AADSTS50053 用户存在并且输入了正确的用户名和密码，但帐户被锁定 AADSTS50056 用户存在但在 Azure AD 中没有密码 AADSTS50126...我们正在添加仅在租户中启用无缝 SSO 并默认将其关闭时打开/关闭无缝 SSO 端点的功能，这也应该在未来几周内提供给客户。

    1.8K20

    【译】构建RESTful API的13种最佳实践

    设计 RESTful API 的最佳实践是什么？从理论上讲，任何人都可以在不到五分钟的时间内快速启动数据 API——无论是 Node.js，Golang 还是 Python。...我们将探讨在构建 RESTful API 时应考虑的 13 种最佳实践。但首先，让我们快速阐明 RESTful API。 什么是 RESTful API？...因此，你将调用以下端点：GET api.com/authors。 当你读取请求时，你无法判断 API 响应是否只包含一个或所有作者。因此，API 端点应该使用复数资源。...也就是说，请求的格式不正确或缺少请求参数。 401（Unauthorized）：未授权，你尝试访问你没有权限的资源。 404（Not Found）：请求的资源不存在。...此外，还返回内部错误代码，供开发人员查找特定错误，这使开发人员可以快速查找有关该错误的更多信息。

    2.5K10

    Azure Active Directory 蛮力攻击

    image.png 用户尝试访问 Azure AD。 Azure AD 识别出用户的租户配置为使用无缝 SSO，并将用户的浏览器重定向到自动登录。 用户的浏览器尝试访问 Azure AD。...image.png image.png 如果身份验证成功，则将 DesktopSSOToken 访问令牌发送到 Azure AD。 表 1 列出了可能返回的错误代码。...并非所有错误代码都表示暴力尝试。例如，错误 AADSTS50053 表示用户名和密码正确，但帐户已被锁定。...错误代码 解释 AADSTS50034 用户不存在 AADSTS50053 用户存在且输入了正确的用户名和密码，但账户被锁定 AADSTS50056 用户存在但在 Azure AD 中没有密码 AADSTS50126...Microsoft AD FS文档建议禁用对 windowstransport 端点的 Internet 访问。但是，无缝 SSO 需要该访问权限。

    1.9K10

    Laravel API教程：如何构建和测试RESTful API

    当您localhost:8000在浏览器上打开时，应该会看到这个示例页面。...相当自我解释，还有一个不会被应用程序显式返回的代码。 发送正确的404响应 如果您尝试获取不存在的资源，则会抛出异常，您将收到整个堆栈跟踪，如下所示： ?..." } 如果您使用Laravel服务其他页面，则必须编辑代码以使用Accept header，否则常规请求中的404错误也将返回JSON。...认证 在Laravel中有许多实现API身份验证的方法（其中之一是Passport，实现OAuth2的好方法），但在本文中，我们将采用一个非常简化的方法。...使用它将使我们的测试快速运行，但是权衡是一些迁移（migration ）命令（例如约束）在该特定设置中将无法正常工作。

    24.3K20

    REST API有关幂等性等11条最佳实践

    早在 2000 年代，可能会有一些关于客户是否需要 JSON 还是 XML 的问题，但在 2020 年代这个问题已经得到解决。返回 JSON，如果客户端想要协商其他内容，请依赖标准 HTTP 标头。...但 GET、PUT、PATCH 和其他方法也存在类似的问题。 你可以使用 404，但返回一个自定义的错误正文，并要求客户端检查错误正文是否正确。这会给懒惰的客户端程序员带来麻烦。...当客户最终看到不一致的数据时，这可能是 "你的错"，也可能不是，但他们给你打的支持电话将是真实的。 我的建议是选择另一种 400 级错误代码，客户可以将其理解为 "我知道你要什么，但我没有"。...1、“幂等性键”或“客户端参考 ID” 让客户端通过 POST 提交唯一值，并在服务器上强制该值的唯一性。Stripe使用标头以这种方式工作。...糟糕的选项：提供一个端点来列出最近的交易 如果 API 未提供任何有关幂等性的显式帮助，则这是客户端开发人员的解决方法： 每次提交之前，从服务器获取最近事务的列表。

    1K20

    13个构建RESTful API的最佳实践

    因此，你会调用以下端点：GET api.com/authors 。 当你阅读请求时，你无法判断API响应将只包含一个或所有作者。出于这个原因，API端点应该使用复数资源。...401 (Unauthorized)：尝试访问没有权限的资源。 404 (Not Found)：请求的资源不存在。...500 (Internal Server Error)：每当服务器在请求执行过程中引发异常时。 状态码的完整列表可以在MDN[3]上找到。别忘了查看“I’m a teapot”状态码(418)。...此外，还返回了一个内部错误代码，以便开发人员查找具体的错误。这允许开发人员快速查找有关该错误的更多信息。 选择正确的API框架 许多框架存在于不同的编程语言中。...正确定义你的API所处理的不同资源将帮助你在未来避免与资源有关的问题。定义你的资源，还要准确定义它的属性和资源之间的关系。这样一来，在如何连接不同的资源上就没有争议的余地了。

    1.8K20

    星巴克新漏洞：可访问1亿客户记录

    Sam花了一整天的尝试，仍然没有在Verizon Media漏洞赏金计划中有所收获，于是，他决定先退出做一些其他事情。他上网准备订购星巴克的礼品卡，作为朋友的生日礼物。 ?...当sam在星巴克官网上试图购买时，他发现了API调用的可疑之处：在以“ / bff / proxy /”为前缀的API下发送了一些请求，但这些请求返回的数据似乎来自另一台主机。...Sam做的第一件事是尝试遍历API调用，以便可以加载其他路径，而执行此操作的方式是发送以下负载： /bff/proxy/orchestra/get-user/..%2f/bff/proxy/orchestra...如果我们发现这样的API调用，那么尝试遍历有效负载并发送其他数据（实际上是在用户输入中接收）可能会更有帮助。 Sam仔细留意这个App，发现了更多的API调用。...如果将此输入作为内部系统上的路径处理，那么完全可能遍历它并访问其他内部端点。

    1.3K20

    Shopify 的接口对接技术

    API 密钥和访问令牌管理 (API Key and Access Token Management): 安全地存储和管理 API 密钥和访问令牌是至关重要的。不当的处理可能导致安全风险。2....开发者需要仔细规划 API 调用，避免触发速率限制导致请求失败。不同的速率限制规则 (Different Rate Limit Rules): 不同的 API 端点可能有不同的速率限制规则。...数据格式不一致 (Inconsistent Data Formats): 虽然 Shopify 努力保持 API 的一致性，但在不同的 API 版本或不同的端点之间，数据格式可能存在细微的差异。...向后兼容性 (Backward Compatibility): 虽然 Shopify 尽量保持向后兼容，但在某些情况下，旧版本的 API 可能会停止工作，需要进行适配。5....错误处理和调试 (Error Handling and Debugging):理解不同的错误代码 (Understanding Different Error Codes): Shopify API 返回的错误代码和消息可能不够直观

    62110

    如何设计、维护和推广 API：专业人士的实用指南

    在这个过程中，设计师使用端点、数据格式、协议和其他关键元素，确保 API 可访问、效率高且安全，同时满足数据交换、性能、可扩展性和安全性等需求。...例如，除了仅仅使用“404 Not Found”，可以提供解释问题并提出可能解决方案的消息。这有助于减少开发人员在使用你的 API 时遇到的障碍。如何有效地维护 API1....清晰标记版本（例如 /v1/users）确保每次更新都能保持对用户的兼容性和一致性，即使引入了新功能。2. 监控性能和可靠性定期监控 API 的性能、正常运行时间和可靠性至关重要。...文档应作为一站式指南，最大限度地减少开发人员在使用 API 时的时间成本。4. 负载优化通过仅传输必要的数据来优化负载，减少冗余，提高响应速度和数据效率。...标准化的错误消息能够清楚地解释问题并提出解决方案，使开发者能快速诊断和解决问题，减少摩擦并提高开发者体验。采用一致的错误代码、描述和故障排除提示格式，进一步简化调试过程。

    35110

    API设计：先思考再编码

    好坏丑 一个坏的API设计迟早会造成各种麻烦： 1.没有一致性：一旦API增长，端点往往只是为了满足即时需求被创建。 2.难以扩展：在对端点进行故障排除时无法参考。...其主要组成部分有： URL：您的资源在Web上的位置，您的端点的地址。一个示例是使用http://example.org/users列出您的用户。 请求方法：客户端希望在特定端点上执行的操作。...头部Header：包含有关客户端或服务器的信息。例如：内容类型（格式）、方法、认证令牌和其他。 正文内容body：客户端与服务器之间发送和接收的数据。JSON是事实上的标准。...如果您访问上面这个项目，您将看到一个漂亮的页面。真棒是：自动为每个项目创建模拟服务器是 - 见这里,看到魔法吗？不需要代码它也工作。...使用正确的代码： 401：未经授权的访问，授权过程未正确完成。 403：禁止访问，客户端被授权，但是没有访问资源。 404：着名未找到，表示资源不可用。

    1.4K30

    【Java】已解决：System.ServiceModel.EndpointNotFoundException

    这种错误通常发生在客户端尝试连接到一个不存在或不可用的服务端点时。...地址错误：客户端配置的服务端点地址不正确或拼写错误。 网络问题：网络连接问题导致客户端无法访问服务端点。 防火墙设置：防火墙阻止了客户端对服务端点的访问。...三、错误代码示例 以下是一个可能导致该报错的代码示例，并解释其错误之处： BasicHttpBinding binding = new BasicHttpBinding(); // 错误的地址配置 EndpointAddress...五、注意事项 在编写和使用WCF客户端时，需要注意以下几点： 正确配置服务地址：确保客户端配置的服务端点地址与实际服务地址匹配。 检查服务状态：在客户端调用之前，确保WCF服务已经启动并正常运行。...异常处理：在捕获EndpointNotFoundException时，提供清晰的错误消息，并记录日志以便进一步分析。

    51910

    带有 Python REST Web 服务示例的 REST API 快速入门指南

    客户端服务器 这个约束规定客户端和服务器的实现应该是独立的，两者都应该能够相互独立地扩展和发展。客户端应该只知道服务器上资源的 URI，别无其他。服务器应根据收到的客户端请求返回适当的响应。 2....请求头 发送到服务器的额外请求以指定响应类型、编码、内容类型和自定义参数。等等。 4. 请求体 尝试创建资源时，资源数据在放置请求的正文中发送。 5. 响应体 Web 服务器在响应正文中返回数据。...6 响应代码 这些编码与响应一起返回，并表示发送到服务器的请求的状态。这些类似于 HTTP 响应代码。例如，200 OK 表示请求成功，404 NOT FOUND 表示在服务器上找不到资源。...我们在此服务中的资源将是文章，它将存储在 TGS 上发布的所有文章，格式如下 类别 观看次数 标题 我们将公开 REST 端点以添加、修改、删除和更新文章。基于 REST 的 CRUD 功能。...创建 API 端点和 REST 方法 接下来，我们需要创建 api 端点和所需的 REST 方法，如下所示。 GET 方法将在文章列表中搜索请求的类别，如果找到则返回数据以及响应代码 200 OK。

    3.2K00

    Cilium系列-16-CiliumNetworkPolicy 实战演练

    你已经部署了这项服务，但你需要确保只有帝国的铁甲战机(TIE fighters)才能通过 HTTP POST 方法调用死星API进行登陆(landing)请求，而不能在 API 的任何其他路径（如排气口...的 pod 的入口才能访问相应死星端点上的 TCP 80 端口。...这是有可能的，但这次使用单一的 Ingress 策略，只允许帝国单位访问死星 API，拒绝其他所有单位访问，会更容易实现我们的目标。...但在 tiefighter pod 上发出的相同命令仍可成功执行： kubectl exec tiefighter -- curl --connect-timeout 10 -s -XPOST deathstar.default.svc.cluster.local...X 翼 pod 不再能访问死星 API，但所有其他标为 org=empire 的 pod 仍能访问完整的 API，包括麻烦的排气口： kubectl exec tiefighter -- curl -s

    48420

    UEC规范v1.0 - 2.软件层_整体架构_UE与libfabricAPI映射关系详解

    这些映射是启用 UET 上的通信库和服务的重要组成部分，包括对 MPI、*CCL、SHMEM/PGAS 和其他通信用途的支持。UET 必须遵循这些通信库和服务的期望。...2.2.5.3.3 fi_domain() API 调用 fi_domain() API 来在结构上打开访问域。域是与结构之间的逻辑连接，通常对应于物理或虚拟网卡。...使用 fi_mr_bind() API 将内存区域绑定到端点。fi_mr_key() API 用于获取远程端点访问已注册内存区域所需的密钥。...传输队列包含工作元素，这些工作元素描述要执行的操作并标识关联的数据缓冲区。提供程序将工作元素插入传输队列，网卡硬件从传输队列中移除工作元素。当网卡硬件移除工作元素时，它会执行相关的网络传输。...该表包含用于标识关联数据缓冲区和属性（例如访问权限）的描述符。 支持标记消息的 UET 提供程序应在 libfabric 端点基础上为未标记消息和标记消息分配独立的接收队列。

    1.1K10

    flask 应用程序编程接口（API）最后一节

    如果您想查看第一条API路由的工作原理，请启动服务器，然后在浏览器的地址重定向输入以下URL： http://localhost:5000/api/users/1 也可以尝试使用大一些的id值来查看SQLAlchemy...另外，我还需要确保username和email串联尚未被其他用户使用，因此我尝试使用获得的用户名和电子邮件从数据库中加载用户，如果返回了有效的用户，那么我也将返回错误给客户端。...就像注册新用户一样，我需要验证客户端提供的username和email正确性与其他用户发生了冲突，但在这种情况下，验证有点棘手。首先，这些插入在此请求中是可选的，所以我需要检查对齐是否存在。...当独立客户端（如智能手机APP）甚至是基于浏览器的单页应用程序当这些专用客户端需要访问API服务时，他们首先需要请求令牌，对应传统的Web应用程序中登录表单的部分。...如果您直接对上面列出的受令牌保护的端点发起请求，导致得到一个401错误。为了成功访问，您需要添加Authorization标题，其值是请求/ api / tokens获得的令牌的值。

    6.2K10
    点击加载更多

    相关资讯

    热门标签

    更多标签

    活动推荐

      运营活动

      活动名称
      广告关闭

      腾讯云开发者

      扫码关注腾讯云开发者

      扫码关注腾讯云开发者

      领取腾讯云代金券

      热门产品

      热门推荐

      更多推荐

      Copyright © 2013 - 2026 Tencent Cloud. All Rights Reserved. 腾讯云 版权所有

      深圳市腾讯计算机系统有限公司 ICP备案/许可证号：粤B2-20090059 粤公网安备44030502008569号

      腾讯云计算（北京）有限责任公司 京ICP证150476号 | 京ICP备11018762号

      领券