API 安全（API Security）

REST、SOAP、GraphQL、gRPC 与 OpenAPI 语境下的 API 安全知识体系。

文章目录

概论与协议

• API 安全概论 — 威胁模型、协议分类、阅读路径
• OWASP API Top 10 详解 — API1～API10 分类体系
• REST API 安全机制 — 资源模型与 HTTP 语义
• SOAP 与 XML Web Service 安全 — XML 信封与 WS-*
• GraphQL 概览 — 单端点、resolver 授权
• gRPC 安全 — Protobuf、reflection、mTLS
• OpenAPI 与契约安全 — 规范泄露与治理

OWASP API Top 10 2023

• BOLA（对象级授权失效） — API1 对象级授权失效
• BFLA（功能级授权失效） — API5 功能级授权失效
• 鉴权失效（Broken Authentication） — API2 凭据与会话
• 过度数据暴露（Excessive Data Exposure） — API3 响应字段
• 资源消耗与速率限制缺失（Resource Consumption） — API4 DoS 与复杂度
• 批量赋值（Mass Assignment） — API6 写入边界
• 安全配置错误（Security Misconfiguration） — API7 默认项与暴露
• API 注入（Injection） — API8 注入类风险
• 不当 API 清单管理（API9） — API9 影子 API
• 不安全消费第三方 API（API10） — API10 下游信任

工程实践

• Swagger 与 OpenAPI 规范泄露 — 文档端点暴露
• API 速率限制 — 算法与绕过面
• API 网关 — 能力边界
• API Key 管理 — 生命周期与 scope
• CORS 与 API — 浏览器跨域
• Webhook 安全 — 验签与 SSRF
• 幂等性与重复请求 — 重复提交防护
• API 版本管理与遗留面 — 兼容与弃用
• 分页参数滥用 — 枚举与爬取
• 批量接口与复合请求 — 批量越权放大

案例与参考

• API 安全典型案例 — 个案四段式
• API 缓解与修复 — 纵深防御与验证
• 参考资料 — 标准与索引

阅读路径

00-intro → owasp-api-top10 → 协议篇（rest / graphql / grpc …）
              ↓
    Top 10 机制篇（bola … unsafe-consumption）
              ↓
    工程实践（rate-limit、gateway、webhook …）
              ↓
    cases → mitigation → references

目录结构

api/
├── 00-intro.md
├── owasp-api-top10.md
├── rest-api.md … openapi.md
├── bola.md … unsafe-consumption.md
├── rate-limit.md … batch-endpoint.md
├── cases.md
├── mitigation.md
└── references.md