怎么保证后台接口的安全性？

Question

最近有个活动接口被恶意调用，怎么阻止这种行为?

Answer 1

安全防范有好多种.
绕过漏洞、验证机制漏洞、会话管理漏洞、权限控制漏洞、sql注入、xpath注入、xss、csrf、逻辑漏洞、社会工程学攻击、自动化审计等;
如果把上述说明得漏洞一一修复,就应该相对安全了

Answer 2

可以参考腾讯接口鉴权 https://www.qcloud.com/doc/ap...

Answer 3

被恶意的调用，你要加签名机制，

Answer 4

是怎么样的恶意调用。别忘了基本的https，其它可以配合验证码，频率之类的

Answer 5

可以参考第三方的接口，比如淘宝、微信等，主要是用token验证包装安全性

Answer 6

这么好的问题居然被down了4次。可惜了。我up了一次哈哈哈。

Answer 7

一般都是加上token，限制频率。 恶意ip检测。

Answer 8

这个问题确实没问好，太大了，不好回答。

从LZ的描述看出主要问题是被恶意调用，那想到的对策就是：

1. 认证授权

2. 请求签名（记得加时间戳）

3. 频率控制（按用户、IP等）

当然，如果是防机器人，还可以用验证码之类的。