但凡部署在广域网的应用程序,随随便便的好多工具可以根据ip或域名扫描应用程序的所有暴露的接口,进而分析参数,注入程序,分分钟被攻击。
那咋才能保证接口的安全性呢?
(一)面临的主要安全问题
a.网络环境假设:
a1.假设公共网络(Internet,如:WIFI、非家庭网络、非办公网络等) 是不安全的,一切基于HTTP协议的请求/响应(Request or Response)都是可以被截获的、篡改、重放(重发)的。
b.接口安全要求:
b1.防伪装攻击(案例:在公共网络环境中,第三方 有意或恶意 的调用我们的接口)
b2.防篡改攻击(案例:在公共网络环境中,请求头/查询字符串/内容 在传输过程被修改)
b3.防重放攻击(案例:在公共网络环境中,请求被截获,稍后被重放或多次重放)
b4.防数据信息泄漏(案例:截获用户登录请求,截获到账号、密码等)
(二)可参考的商业标准
可参见: HTTP数据传输安全方案 HTTPS(HTTP安全商业标准)
http://baike.baidu.com/view/14121.htm