APP接口安全设计的要点

APP接口安全设计的要点

请求合法性校验：

2.Token令牌，Token主要用于自动登录，也就是在不需要用户频繁登录的情况下保证访问的合法性。常见的流程是使用用户名和密码登陆后，服务端返回一个token，后续客户端每次方法都带上这个token，当这个token超过一定的时间（token有效期）没有被使用，则要求客户端重新输入用户名和密码重新获取token，服务端也通过请求的IP地址等一些信息判断客户端的网络环境和设备环境是否发生变化，如果发生变化，也要求客户端重新输入用户名和密码，重新获取token。

3.IP、MAC地址限制，只允许某一个MAC地址、IP或IP段的客户端进行访问请求，只能一定程度上起到防范作用。

4.User-Agent和Referer限制，只能一定程度上起到防范作用。

数据合法性校验：数据合法性的校验主要是为了避免异常数据和注入攻击。

1.不依赖客户端的数据校验，不管客户端有没有进行数据校验，服务端都要做合法性校验。

数据加密：数据加密主要是指对敏感数据进行加密，避免因网络传输过程中的窃听和抓包造成敏感数据泄露，常见方法主要由：

1.使用HTTPS协议。

2.对敏感数据采用秘钥进行加密和解密。

接口错误处理：接口错误处理主要是值对接口的返回结果进行编码，制定统一的错误返回编码，避免因接口错误和异常等原因造成堆栈信息泄露。

接口过载保护：接口过载保护是指对接口访问频率设置阈值，超出阈值后不予处理，直接返回错误码，可以一定程度上防止CC攻击，过载保护可以通过Web服务器进行控制，也可以通过代码进行控制。

2.可以通过代码的方式来判断，最好基于Redis计数器或者服务端缓存，避免对性能造成影响。

版权声明：本文内容由网络用户投稿，版权归原作者所有，本站不拥有其著作权，亦不承担相应法律责任。如果您发现本站中有涉嫌抄袭或描述失实的内容，请联系我们jiasou666@gmail.com 处理，核实后本网站将在24小时内删除侵权内容。