API安全——SSRF服务端请求伪造的原理以及防范

SSRF全称Server-Side Request Forgery，服务端请求伪造。
在最新的2023 OWASP中API 安全的Top10榜单中，ssrf排第7。

易受攻击原因

我们在开发过程中，通常使用API 获取远程时出现服务器端请求伪造 （SSRF） 缺陷 资源，而不验证用户提供的 URL。它使攻击者能够 强制应用程序将精心编制的请求发送到意外目标， 即使受到防火墙或VPN的保护。

什么是SSRF（服务器端请求伪造）？

SSRF（服务器端请求伪造）是一种安全漏洞，它允许攻击者引诱服务器发起服务器本不打算进行的请求。这种攻击的关键在于，攻击者可以通过服务器发起的请求，访问其无法直接访问的网络资源。