概述
RESTful API 是目前最常用的网络服务接口规范之一，它以一种简单且清晰的方式处理客户端与服务端之间的通信。RESTful API 架构本身是基于 HTTP 协议的，它使用不同的 HTTP 方法（如 GET、POST、PUT、DELETE 等）来执行各种 CRUD（创建、读取、更新、删除）操作。
但是，由于其易受攻击的本质，开发人员必须采取一些措施来确保 RESTful API 的安全性。本文将介绍一些解决方案，以帮助开发人员更好地保护他们的 RESTful API。
安全性问题
RESTful API 的安全性问题可以归结为以下几点：
- 会话和身份验证漏洞：未经身份验证的用户可以访问受保护资源，且攻击者可以通过不同的方式（如 cookie 窃取、密码猜测等）获取他人的认证信息。
- 跨站点请求伪造（CSRF）攻击：攻击者可以利用 CSRF 攻击在用户不知情的情况下执行某个动作。
- 注入攻击：攻击者可以注入恶意代码来执行拒绝服务攻击或窃取敏感信息。
- 访问控制不当：开发人员未正确配置访问控制，导致未授权的用户可以访问敏感信息。
- 敏感数据暴露：开发人员未正确保护数据，导致攻击者可以窃取敏感数据。
解决方案
1. 使用 HTTPS
使用 HTTPS 加密协议可以确保数据在传输过程中得到加密，从而阻止窃听者窃取有关用户和其密码的任何信息。 HTTPS 协议可以防止中间人攻击、窃听、攻击者使用 CSS 提供的攻击和 XSRF 攻击，并确保客户端与服务端之间的防伪造性。
-- -------------------- ---- -------
----- ------- - ------------------
----- ----- - ----------------
----- ---- - ---------------
----- --- - ---------
----- ---------- - -
---- ------------------------------------
----- ------------------------------------
-
------------- ---- ----- -- -
-------------- -
------
- ---- -
----------------------- - ---------------- - --------
-
--
------------------------------ ---------------- ---------- -
------------------- ------- -- ------ ---- -----
--
--------------------------------- ---------- -
------------------- ------- -- ---------- ---- ----
--2. 身份验证和会话管理
为了尽量减少会话和身份验证漏洞的风险，开发人员应该通过不同的身份验证机制来控制用户对其 API 的访问。
-- -------------------- ---- -------
----- ------- - ------------------
----- ------- - --------------------------
----- ----------- - -------------------------------
----- ---------- - ----------------------
----- ------ - -----------------
----- --- - ---------
-- ------------- ------ ------
----- ---- - -
--------- -------
--------- ------------------------- ---
-
--------------------------
----- -------------- - -
------ --- -------------
------------ --------
---
------- -------------
------- -----
------------------ -----
------- -
--------- -----
------- --------
-
-
--------------------------------
-------------------------- ----- ---- -- -
-------------- -- ------------------------- --- ----- -
----------
-------- --------------- ------------
--
- ---- -
----------------------
-------- --------------- -------
--
-
--
------------------------- ----- ---- -- -
--------------------- -- ------------------- -
----------------------
-------- --------- --- -------- ---------
--
- ---- -------------------- --- ------------- -- ------------------------------------- --------------- -
------------------------- - ----
----------
-------- --------------- -----------
--
- ---- -
------------------------- - -----
----------------------
-------- --------------- -------
--
-
--
---------------- -- -- -
------------------- ------- -- ---- ------
--3. 防止 CSRF 攻击
为了防止 CSRF 攻击，开发人员可以通过以下几个步骤来防止这种攻击：
- 使用 HTTP 头部和请求体中的 token 值
- 使用从 cookie 和外部服务提供的 token 值
- 要求非 GET 请求都包含 token 值
-- -------------------- ---- ------- -- -- ---- -- ----- ---- - ---------------- ----- -------------- - ------------- ------ -- -- ---- ----- ---- -- ---------------- --------------- ----- ---- -- - -- - ------ --- ----- - ----- --------- - ------------------------- -- -- ----- - -------------- ----- ------- -- ---------------- -- -- - ------------------- ------- -- ---- ------ --
4. 输入验证
开发人员应该检查所有输入数据，包括 GET、POST、PUT 和 DELETE 请求中包含的数据。输入验证可以通过在服务端实现自定义过滤、实现第三方库或使用表单验证框架来实现。
-- -------------------- ---- -------
-- --------
----- -------- - ----------------------
----- ----------- - -
------ -
--------- -----
------ ----
--
--------- -
--------- -----
------- -
-------- --
-------- -------------
-
-
-
--------------------- ----- ---- -- -
----- ---------------- - ------------------ ------------
------------------- --- ---------- -
---------------------- ------------
- ---- -
----------------------
-------- ------------- --------
------- ----------------
--
-
--
---------------- -- -- -
------------------- ------- -- ---- ------
--5. 隐藏内部错误
在发生错误时，RESTful API 应该返回有关错误的有用信息。但是，它不应该公开其内部集成、系统故障和敏感信息。
-- -------------------- ---- ------- -- ------ ------------- ---- ---- ----- -- - ------------------------ ------------------------------ ------ ------- -- -- ------ ------------- ---- ----- -- - ------------------------------------ ---------- ----------------------------- ------------- --------------------------------------- ------------------ ------------------- ------------------------------ --- ------------ -- ---------------- -- -- - ------------------- ------- -- ---- ------ --
结论
通过本文介绍的安全解决方案，开发人员可以尽可能的确保他们的 RESTful API 的安全性，然而保障 API 难免需要额外的配合设施或步骤，请根据业务场景定义完善的方案而不是唯一的解决方案。最佳实践是在所有 API 上实施安全措施，以确保客户端和服务器端数据在传输过程中的安全性。
来源：JavaScript中文网 ，转载请注明来源 https://www.javascriptcn.com/post/674eb738e884a3e30f29564b