- 综合排序
- 最热优先
- 最新优先
- 来自专栏Khan安全团队
API 安全清单
对于私有 API，仅允许从列入白名单的 IP/主机进行访问。 API keys 使用 API Gateway 服务来启用缓存、速率限制策略（例如Quota、Spike Arrest或Concurrent Rate Limit）并动态部署 API 资源。
1.9K20编辑于 2022-01-14 - 来自专栏charlieroro
API安全综述
因此，在实现数字化转型项目时，需要重点考虑APIs的安全性。 在上一篇文章中已经讨论了与API认证有关的问题，本文关注与API安全有关的其他重要因素，以及对应的解决方案。 目录 API安全综述 API调用中的访问控制 token颁发过程中的访问控制 API调用过程中的访问控制 消息防护 后端服务的安全性 基于分析的安全性 APIs治理 API部署防护 API调用中的访问控制 基于分析的安全性 API 层是暴露一个组织所有功能的核心。因此，可以在API层的API操作中捕获大量信息，这些信息可以用来洞察安全性并推测可能存在的威胁。 首先，考虑审核方面。 Figure 6: 使用API调用数据来汇总与安全性有关的信息，并触发与安全性有关的事件通知 除了上面提到的API操作，在API层可以捕获到的另外一个重要信息是API调用细节。 API部署防护 仅使用API管理平台或API网关是无法防护APIs的。对API安全性来说，根据安全架构来部署API平台模块、后端服务和其他组件也是一个重要任务。 ?
1.3K20发布于 2021-07-13 - 来自专栏用户8610644的专栏
腾讯API安全公测重磅开启，你的API安全吗？
9月28日，腾讯安全正式启动API安全公测，联动腾讯Web应用防火墙、腾讯安全威胁情报、腾讯天御业务安全等能力，帮助企业全面识别API风险，针对性收敛API暴露面，构建全面、智能、精准的API安全防御体系 API安全面临四大挑战安全隐患往往藏于“未知”，API普遍应用于新业务、新场景、新环境之下，众多企业用户并不了解自己拥有多少API，就更别提保证每个API都具备良好的访问控制策略，未知的僵尸API、未知的影子 2、强调开发速度和灵活性，忽略构建API安全：更多企业转向采取敏捷开发模式，但在提升软件构建效率的同时，企业对于如何构建API安全性缺少合适的方法，难以顾及API安全。 （OWASP API Security Top 10）腾讯API安全产品聚焦API防御体系打造腾讯API安全聚焦API防御体系打造，以异常暴露面管理为首个突破重点，助力企业全面清点API资产、智能发现API 05: 联动腾讯天御、威胁情报能力内置腾讯天御业务安全能力、腾讯安全威胁情报能力，全面识别API资产的网络安全风险及业务安全风险，提供联动防护。
81930编辑于 2022-09-29 - 来自专栏腾讯安全
腾讯API安全公测重磅开启，你的API安全吗？
9月28日，腾讯安全正式启动API安全公测，联动腾讯Web应用防火墙、腾讯安全威胁情报、腾讯天御业务安全等能力，帮助企业全面识别API风险，针对性收敛API暴露面，构建全面、智能、精准的API安全防御体系 API安全面临四大挑战安全隐患往往藏于“未知”，API普遍应用于新业务、新场景、新环境之下，众多企业用户并不了解自己拥有多少API，就更别提保证每个API都具备良好的访问控制策略，未知的僵尸API、未知的影子 2、强调开发速度和灵活性，忽略构建API安全：更多企业转向采取敏捷开发模式，但在提升软件构建效率的同时，企业对于如何构建API安全性缺少合适的方法，难以顾及API安全。 （OWASP API Security Top 10）腾讯API安全产品聚焦API防御体系打造腾讯API安全聚焦API防御体系打造，以异常暴露面管理为首个突破重点，助力企业全面清点API资产、智能发现API 05: 联动腾讯天御、威胁情报能力内置腾讯天御业务安全能力、腾讯安全威胁情报能力，全面识别API资产的网络安全风险及业务安全风险，提供联动防护。
82930编辑于 2022-09-29 - 来自专栏安全播报
腾讯API安全公测重磅开启，你的API安全吗？
9月28日，腾讯安全正式启动API安全公测，联动腾讯Web应用防火墙、腾讯安全威胁情报、腾讯天御业务安全等能力，帮助企业全面识别API风险，针对性收敛API暴露面，构建全面、智能、精准的API安全防御体系 API安全面临四大挑战安全隐患往往藏于“未知”，API普遍应用于新业务、新场景、新环境之下，众多企业用户并不了解自己拥有多少API，就更别提保证每个API都具备良好的访问控制策略，未知的僵尸API、未知的影子 2、强调开发速度和灵活性，忽略构建API安全：更多企业转向采取敏捷开发模式，但在提升软件构建效率的同时，企业对于如何构建API安全性缺少合适的方法，难以顾及API安全。 腾讯API安全产品聚焦API防御体系打造腾讯API安全聚焦API防御体系打造，以异常暴露面管理为首个突破重点，助力企业全面清点API资产、智能发现API动态变化及风险趋势、精准识别API暴露面及敏感数据 05: 联动腾讯天御、威胁情报能力内置腾讯天御业务安全能力、腾讯安全威胁情报能力，全面识别API资产的网络安全风险及业务安全风险，提供联动防护。
85610编辑于 2022-09-28 - 来自专栏FreeBuf
为什么API网关不足以保证API安全？API安全之路指向何处
人们想要减轻面临的 API 安全威胁，需要正确的安全实施战略和程序。另外，为了保证 API 的安全还应该制定一个包含审计标准、变更控制系统、管理流程、访问控制措施等在内的管理计划。 为什么API网关的安全性还不够好？ 我们应该把 API 网关和 API 安全区别开来，不能混为一谈。前者的访问控制功能，仅仅是 API 安全的一部分。 正如 OWASP API 十大安全文件总结的一样，API 安全威胁同样包括许多伴随传统 Web 应用程序攻击的漏洞。 可能危及API安全的三个常见风险 处理 API 数量的方法乏善可陈 缺乏关于公共的、合作伙伴的、私人的和复合的 API 总数的信息，使安全团队无法理解一个 API 的真正暴露和风险。 小企业 API 安全问题缺乏关注 相较于大型企业，小企业无法提供必要的措施来充分保障其数据，因此所拥有的安全性较低，面临的安全风险也会增多。
48320编辑于 2023-03-30 - 来自专栏API技术
API 安全最佳实践
因此，确保强大的 API 安全机制对于保护敏感信息和维护系统的完整性至关重要。在本篇文章中，我们将深入研究 API 的安全性，并通过使用 C# 的实际示例探索一些基本机制。 API安全简介API 安全是为了防范未经授权的访问、数据泄露以及其他潜在风险而采取的一系列实践和技术。如果没有足够的安全措施，API 很容易受到各种威胁，包括数据泄露、拒绝服务攻击和恶意利用。 (TLS) 或安全套接字层 (SSL) 加密可确保客户端和 API 服务器之间的安全通信。 ● 使用安全密码散列算法（例如 bcrypt）来存储密码。 ● 对关键操作实施双因素身份验证。在研发流程之外，开发者也可以采用API集成平台更好地关注API安全。 通过整合这些最佳实践，开发人员可以构建强大且安全的 API，从而为更安全的数字生态系统做出贡献。原文链接：Best Practices of API Security.
96910编辑于 2023-12-20 - 来自专栏Linyb极客之路
浅谈API安全设计
一、简述 安全是恒久的话题，如果不注意防范，会带来很严重的后果。 比如： 1.接口被大规模调用消耗系统资源，影响系统的正常访问，甚至系统瘫痪 2.数据泄露 3.伪造（篡改）数据，制造垃圾数据 4.App被仿制… 那么我们设计API时，就要保证RESTful API的安全性 总结 如此便实现了请求认证，防止数据篡改，重放攻击，但是需要确保App密钥(SIGN_KEY)的安全保存，其优点是容易理解与实现，缺点是需要承担安全保存密钥和定期更新密钥的负担。
82810编辑于 2022-03-10 - 来自专栏刘君君
API 网关的安全
摘要: 本篇文章是总结工作中遇到的安全问题 正文: API 网关的安全 XSRF/CSRF 跨站请求伪造(Cross-site request forgery)是一种挟制用户在当前已登录的web程序上执行非本意的操作的攻击方法 这个字段用以标明请求来源于哪个地址，看其url是否与要请求地址位于同一域名下 添加校验Token,恶意网站的请求不带Token无法通过校验 XSS 跨站脚本(Cross-site scripting)是一种网站应用程序的安全漏洞攻击 block-all-mixed-content;connect-src 'self' uploads.github.com status.github.com collector.githubapp.com api.github.com unsafe-inline' assets-cdn.github.com X-Frame-Options:SAMEORIGIN 这个页面只允许同源页面加载 Http-Only 保护cookie JWT的安全 但是服务端既然无状态，Token在客户端存储位置就是一个问题 存放位置 存在Cookie,要使用Http-Only 保护cookie 存在Local Storage 无法防止XSS LocalStorage 的API
1.6K50发布于 2018-06-07 - 来自专栏FunTester
API安全的概览
因此，API 安全性变得至关重要。在确保数据隐私和系统完整性的同时，采取适当的 API 安全措施是防范潜在攻击的关键。 通过漏洞评估和及时的补丁管理，可以降低系统受到已知漏洞攻击的风险，提高 API 的整体安全性。 API生命周期管理 API 安全考虑贯穿整个 API 生命周期，从设计和开发到部署和退役。 安全性应该集成到 API 生命周期的每个阶段，包括设计审查、安全测试和安全部署实践。 设计阶段： 在 API 的设计阶段，开发团队应该进行设计审查，确保安全性考虑已经被纳入到 API 的构建中。 有效地利用安全功能也是 API 安全的关键。利用现代的 API 管理工具，监控和审计 API 的使用情况，检测异常活动。实施有效的日志记录和报警系统，及时发现和响应潜在的安全威胁。 综上所述，通过提高参与 API 生态系统的各方人员的安全意识，培训他们如何有效地应对安全挑战，实施最佳实践和利用现代安全功能，可以显著增强 API 及其交互系统的安全状况。
50710编辑于 2024-02-03 - 来自专栏Tencent Serverless 官方专栏
使用腾讯云 API 网关保护 API 安全
因此，API 安全正受到业界和学术界的广泛关注，开放 Web 应用程序安全项目（OWASP）在 2019 年将 API 列为最受关注的十大安全问题。 本文将带您了解如何使用腾讯云 API 网关保护 API 安全，为您的业务保驾护航。 在腾讯云 API 网关上一般可以通过 9 种方式来保护 API 安全： 1. 链路加密； 2. 认证鉴权； 3. IP 访问控制 API 安全防护过程中经常需要针对 IP 地址进行安全防护，API 网关针对此场景提供了 IP 访问控制能力，主要用于限制 API 的调用来源 IP，可以通过配置某个 API 的 IP API 网关上支持针对 API 设置 W3C 规范的自定义的复杂 CORS 规则，帮助 API 开放者避免跨域过程中的安全问题。 随着互联网产品的兴起，Web 攻击的手段越来越多样，腾讯云 API 网关也将不断修炼安全防护能力，争取为应用开发者们提供业内最安全的网关产品。
8.3K21发布于 2021-09-15 - 来自专栏JavaEdge
SpringCloud安全实战(一)-API及其安全机制
安全 1.1 何为API? 1.2 API安全的要素 ? 1.3 API安全的目标 机密性( Confientiality )。确保信息只被预期的读者访问 完整性( Integrity )。 当用户需要访问API时, API总是可用的 1.4 常见的API风险 Spoofing :欺骗。伪装成系统管理员 Tampering :干预。 风险与安全机制的对应关系 认证: (欺骗)。确保你的用户或客户端真的是他(它)们自己 授权:(信息泄漏)/(干预)/(越权) 确保每个针对API的访问都是经过授权的 审计: (否认)。 防止用户请求淹没你的API。 加密: (信息泄漏)。确保出入API的数据是私密的。 常见的安全机制 ? 注入攻击最为常见 ? 登录安全 基于Token的身份认证 ?
1.3K31发布于 2020-05-27 - 来自专栏用户8851017的专栏
如何保证API接口安全？
当你的公司体量上来了时候，这个时候可能有一些公司开始找你进行技术对接了，转变成由你来提供api接口，那这个时候，我们应该如何设计并保证API接口安全呢？ 如何保证API接口安全？ 如何保证API接口安全？ 但是缺少对数据自身的安全保护，即请求的参数和返回的数据都是有可能被别人拦截获取的，而这些数据又是明文的，所以只要被拦截，就能获得相应的业务数据。 同时，在生产环境，采用https方式进行传输，可以起到很好的安全保护作用
1.8K20发布于 2021-07-23 - 来自专栏API安全
WebSocket API安全风险解读
WebSocket API安全风险WebSocket API的安全风险主要分为两大类：常规攻击风险和特有攻击风险。以下是这两大类风险的详细解读。 ，因此WebSocket API同样面临着OWASP API 2023十大安全风险中的API2：身份认证失效风险。 WebSocket API也会存在和传统Web应用相同的安全风险，如：垂直越权、水平越权、未授权访问等等安全风险。 所以WebSocket API同样面临OWASP API 2023十大安全风险中API1:对象级别授权失效、API3:对象属性级别授权失效、API5:功能级别授权失效的安全风险。 关于Portal Lab星阑科技 Portal Lab 致力于前沿安全技术研究及能力工具化。主要研究方向为API 安全、应用安全、攻防对抗等领域。
97010编辑于 2023-07-03 - 来自专栏mall学习教程
如何保证API接口安全？
一、摘要 在实际的业务开发过程中，我们常常会碰到需要与第三方互联网公司进行技术对接，例如支付宝支付对接、微信支付对接、高德地图查询对接等等服务，如果你是一个创业型互联网，大部分可能都是对接别的公司api 当你的公司体量上来了时候，这个时候可能有一些公司开始找你进行技术对接了，转变成由你来提供api接口，那这个时候，我们应该如何设计并保证API接口安全呢？ 在接口签名方案中，主要有四个核心参数： 1、appid表示应用ID，其中与之匹配的还有appsecret，表示应用密钥，用于数据的签名加密，不同的对接项目分配不同的appid和appsecret，保证数据安全 但是缺少对数据自身的安全保护，即请求的参数和返回的数据都是有可能被别人拦截获取的，而这些数据又是明文的，所以只要被拦截，就能获得相应的业务数据。 同时，在生产环境，采用https方式进行传输，可以起到很好的安全保护作用！ ----
1.2K20发布于 2021-07-02 - 来自专栏安全乐观主义
一图看懂API安全
可能有人不理解，为什么API安全会是什么呢？API安全早期可是世界闻名的，看图片就知道了。... 好了，今天的娱乐新闻就到这里了，各位看官有什么想说的，欢迎在评论区留言告诉小编哦。 小编会在第一时间回复大家的，让我们一起讨论，一起八卦API安全是什么。点击图片可放大 ?
65630发布于 2020-05-18 API安全深度选型指南
本指南将深入探讨API安全的选型问题，特别关注阿里云提供的API安全产品。 阿里云API安全产品概览 阿里云提供了一系列的API安全产品，旨在帮助企业保护其API免受各种威胁。 以下是阿里云API安全产品的主要特点： 1. API网关 流量管理：提供流量控制、熔断、限流等功能，确保API的稳定性和可用性。 应用安全网关 应用层安全：提供Web应用防火墙（WAF）功能，保护API免受跨站脚本攻击（XSS）、SQL注入等。 内容审计：记录和审计API访问日志，便于事后分析和追踪。 结论 API安全是企业数字化转型中不可忽视的一环。阿里云提供的API安全产品能够帮助企业构建一个全面、可靠的API安全防护体系。 在选择API安全产品时，企业应综合考虑安全性、性能、可扩展性和易用性等因素，以确保API的安全和稳定运行。
23010编辑于 2025-07-28- 来自专栏tea9的博客
API安全APIKit安装使用
APIKit可以主动/被动扫描发现应用泄露的API文档，并将API文档解析成BurpSuite中的数据包用于API安全测试。 然后工具下载好之后与此对应的有一个api的apisandbox项目用于测试api漏洞 https://github.com/API-Security/APISandbox APISandbox是一个包含多个场景的 API漏洞靶场。 Auto Request Sending 选择开启Auto Request Sending后，可以对子API进行自动化鉴权测试，快速发现API未授权访问漏洞。 某SRC站点使用了swagger，使用APIKit和xray联动遍历所有的API，最终发现多个高危严重漏洞。 能知道这个工具可以帮助在安全测试过程中发现隐藏的接口，进而增加暴露面能找到更多的漏洞
2.1K20编辑于 2023-03-07 - 来自专栏老K博客
如何保证API接口安全？
一、背景介绍 在实际的业务开发过程中，我们常常会碰到需要与第三方互联网公司进行技术对接，例如支付宝支付对接、微信支付对接、高德地图查询对接等等服务，如果你是一个创业型互联网，大部分可能都是对接别的公司api 当你的公司体量上来了时候，这个时候可能有一些公司开始找你进行技术对接了，转变成由你来提供api接口，那这个时候，我们应该如何设计并保证API接口安全呢？ 在接口签名方案中，主要有四个核心参数： appid表示应用ID，其中与之匹配的还有appsecret，表示应用密钥，用于数据的签名加密，不同的对接项目分配不同的appid和appsecret，保证数据安全
42510编辑于 2024-12-10 - 来自专栏糖果的实验室
一图看懂API安全
可能有人不理解，为什么API安全会是什么呢？API安全早期可是世界闻名的，看图片就知道了。... 好了，今天的娱乐新闻就到这里了，各位看官有什么想说的，欢迎在评论区留言告诉小编哦。 小编会在第一时间回复大家的，让我们一起讨论，一起八卦API安全是什么。点击图片可放大 ? 全文完
46320发布于 2020-05-25
腾讯云开发者
