API伪造攻击类型及防御详解

API伪造攻击主要包括以下10种类型：CSRF攻击、SSRF攻击、JWT伪造、参数篡改、身份伪造、重放攻击、中间人攻击、API端点伪造、OAuth令牌伪造、WebSocket滥用。以下从攻击原理、风险场景及防御方案展开分析。

---

1. CSRF（跨站请求伪造）攻击

原理：攻击者诱导用户访问恶意页面，利用用户已登录的会话身份，伪造合法请求调用API（如修改密码、转账）。
风险场景：未校验请求来源的API（如依赖Cookie/Session鉴权）。
防御方案：

• 强制使用同源策略（SameSite Cookie）。
• 添加CSRF Token（服务端生成并验证）。
• 校验请求头中的Origin或Referer字段。

---

2. SSRF（服务器端请求伪造）攻击

原理：利用API参数控制服务器发起内部请求（如url=http://内网IP），探测或攻击内网资源。
风险场景：API接收URL参数并代理访问（如文件下载、网页预览功能）。
防御方案：

• 禁用非常用协议（如file://、gophe