一、身份鑑定。這個可以使用oauth2.0規範，或者帶有不對稱金鑰加密的token，選擇jwt等形式,配合身份鑑定系統來保證。
二、內容防篡改。可以使用數字簽名演算法來進行雜湊校驗，強制https通訊。最新的系統可以考慮http/2。
三、 ddos 攻擊。通過設定防火牆， 控制api呼叫頻. 率，例如協議的rate- -limit 等設定來進行溝通和控制。
四、注入攻擊。這個需要從輸入校驗、編譯碼、輸入過濾和轉化方面著手，主流框架都有基本的防注入設計。
五、同源策略。通過正確的配置cors來防止異常呼叫，但是只對瀏覽器有效。對於移動端可以通過分發證書或者token來驗證有效的呼叫**，加簽名驗證
六、中間人攻擊。這個貌似沒有想到太好的辦法，只能在呼叫端提示使用者處於不安全網路，有攻擊風險而自行規避。
1，閘道器限流，大量惡意攻擊應該遮蔽進入伺服器之前
2，c端設定token過期時間
3，增加吞吐量
防止惡意呼叫API介面
1 驗證碼 最簡單有效的防護 採用點觸驗證，滑動驗證或第三方驗證碼服務，普通驗證碼很容易被破解 2 頻率，限制同裝置，同ip等傳送次數，單點時間範圍可請求時長 3 歸屬地，檢測ip所在地是否與手機號歸屬地匹配 ip所在地是否是為常在地 4 可疑使用者，對於可疑使用者要求其主動發簡訊 或其他主動行為 ...
如何防止公開介面被惡意呼叫？
今年組長給了幾個任務，其中有兩個是關於對外介面的安全控制 前端驗證元件 利用瀏覽器js加密的技術訪問介面，防止惡意使用者越過瀏覽器直接訪問我們的介面。人機識別 在介面端再做一層檢測，區分呼叫者來自普通使用者還是工具模擬，進一步防止惡意打介面的行為。主要研究的方向在於如何提取使用者行為，因為工具模擬是...
API介面手工防禦被惡意呼叫和介面被攻擊
通常情況下的api介面防護有如下幾種 使用https防止抓包，使用https至少會給破解者在抓包的時候提高一些難度 介面引數的加解密，通過md5加密資料 時間戳 隨機字串 salt 然後將md5加密的資料和時間戳 原資料均傳到後台，後台規定乙個有效時長，如果在該時長內，且解密後的資料與原資料一致，則...