确保端点安全的 7 大 REST API 安全策略

在当今 REST API 驱动的环境中，大多数 API 都是基于 REST 的，并被 Web 应用程序广泛使用。这些 API
就像用于在线发送和接收信息的多功能工具。然而，它们的广泛使用使它们面临各种安全威胁和挑战。

无论客户端或其运行环境如何，可以采用哪些策略来保护 REST API 的完整性和可靠性？

什么是 REST API？

REST 是表述性状态传输 (Representational State Transfer)
的缩写，是一种定义网络应用程序设计约束和原则的架构风格。反过来，REST API 是这些有关客户端和服务器之间通信的原则的实际体现。

REST 的核心在于简单性。RESTful API 利用标准 HTTP 方法（例如 GET、POST、PUT 和
DELETE）对资源执行预定义的操作集。这些资源可以是数据、服务或任何可以数字表示的信息。

REST API 以其数据格式的灵活性而闻名，可容纳 JSON、XML、纯文本等。它们使开发人员能够创建可靠、用户友好的系统，与各种设备和平台无缝交互。

然而，这种灵活性和开放性使 REST API 面临许多安全威胁。随着网络威胁的发展，实施强大的API 安全策略来保护这些重要端点变得越来越重要。

加强 REST API 安全性的 7 个关键策略

1. 限制HTTP动词操作

REST API 允许应用程序执行不同的 HTTP 谓词操作。攻击者可以通过使用一些 HTTP 动词操作来拦截和利用您的应用程序。例如 –
GET、PUT、DELETE 和 POST 等。限制此类不安全的 HTTP 方法是 REST API 安全最佳实践。

在某些情况下可能无法阻止使用。在这种情况下，您必须制定并应用严格的政策。不在允许列表中的动词操作应被拒绝。您应该使用严格的授权策略来评估这些不安全的动词操作。这样，只有授权用户才能删除、添加或修改资源集合。

2. 使用 TLS (HTTPS)

REST API 使用 HTTP 请求来访问和使用数据。攻击者可能会在客户端与服务器通信期间泄露密钥、身份验证参数和传输中的数据。您可以通过启用安全
HTTP 或 HTTPS 连接来防止这种情况。

部署最新版本的 TLS/SSL 证书来保护传输中的数据。另外，请从值得信赖的证书颁发机构 (CA) 购买TLS 。

3. 验证每个用户的身份

您必须验证每个用户，以确保您知道谁在调用您的 API。当您不验证用户时，攻击者可以轻松访问您的 API 资源和数据。

您可以使用以下任一方式来验证用户身份：

※ 用户名和密码
※ API 密钥
※ JSON 令牌
※ 访问令牌

确保实施强密码策略。以安全的方式存储密码。实施多重身份验证以确保强大的 REST API 安全性。

如果您提供单点登录 (SSO)，请考虑使用 OAuth2。SSO使用户能够使用 Google、Microsoft 和 Azure
等第三方验证自己。用户不必从头开始注册。而且您不必维护登录/注销或安全保存密码。

OAuth2 是一种授权协议，允许用户安全地访问资源。它使用访问令牌来工作。尽管它不直接处理身份验证，但它有助于该过程。

4. 限制对资源的访问

这是保护 REST API 端点的最佳方法之一。当用户对API资源有 足够的访问权限时 ，就可以防止各种API攻击。

当 API 返回大量数据时，请使用分页。通过分页，您可以限制客户端在单个请求中可以访问的数据。否则，攻击者可能会导致崩溃和停机，在单个请求中请求所有资源。

创建内容安全策略 (CSP) 以防止未经授权的访问。定义 REST API
中允许的内容类型。如果允许的内容类型和请求的内容类型不匹配，服务器应直接拒绝这些请求。这样做可以避免不同的致命攻击，包括 XSS 攻击。

5. 使用率限制

另一个重要策略是使用速率限制。在没有速率限制的情况下，用户可以在短时间内发送大量请求。这些请求泛滥导致 API 无响应。真正的用户将无法使用该 API。

通过速率限制，用户在特定时间范围内不能超过定义的请求数量。如果他们这样做，他们对 API 的访问将被暂时阻止。速率限制有助于防止某些类型的 DDoS 和
DoS 攻击、暴力攻击等。

6. 验证输入参数

REST API 使用以下方式将信息从客户端传递到服务器

※ Path
※ Request body
※ Query
※ Header parameters

在到达应用程序逻辑/服务器之前，您必须验证每个参数的输入。这对于 REST API 保护至关重要。使用强大的输入验证检查，拒绝所有未通过这些测试的请求。

考虑以下三种最重要的验证实践：

实施积极的安全模型：此方法侧重于使用 Swagger 文件（OpenAPI 规范）定义 API
输入的严格边界。它将允许的输入值或模式列入白名单，确保仅处理有效数据，从而有效阻止不合格数据。

在 AppTrana WAAP 中，DevSecOps 团队能够对 API 进行漏洞扫描，并为每个单独的 API 端点请求积极的安全策略。

验证数据属性：通过验证数据类型、格式、范围和长度，确保输入数据符合预期条件。这可以防止注入攻击等常见安全问题并保持数据完整性。

使用验证库：利用现代编程语言中可用的验证库和框架（例如，Python 的 Django 验证器、Node.js 的 Express-
validator）。这些简化了输入验证，涵盖各种场景并支持自定义验证规则。

7. 频繁的API安全测试

持续对 API 进行安全评估，包括渗透测试、漏洞扫描和代码审查等活动，以检测和纠正潜在的安全问题。

最后

从时代发展的角度看，网络安全的知识是学不完的，而且以后要学的会更多，同学们要摆正心态，既然选择入门网络安全，就不能仅仅只是入门程度而已，能力越强机会才越多。

因为入门学习阶段知识点比较杂，所以我讲得比较笼统，大家如果有不懂的地方可以找我咨询，我保证知无不言言无不尽，需要相关资料也可以找我要，我的网盘里一大堆资料都在吃灰呢。

干货主要有：

①1000+CTF历届题库（主流和经典的应该都有了）

②CTF技术文档（最全中文版）

③项目源码（四五十个有趣且经典的练手项目及源码）

④ CTF大赛、web安全、渗透测试方面的视频（适合小白学习）

⑤ 网络安全学习路线图（告别不入流的学习）

⑥ CTF/渗透测试工具镜像文件大全

⑦ 2023密码学/隐身术/PWN技术手册大全

如果你对网络安全入门感兴趣，那么你需要的话可以点击这里👉网络安全重磅福利：入门&进阶全套282G学习资源包免费分享！

扫码领取