7、深入了解API认证与常见漏洞

深入了解API认证与常见漏洞

1. API认证方式

1.1 API密钥

API密钥是API提供者生成并授予已批准消费者的唯一字符串。消费者在提供者指定时，可将密钥包含在请求中，传递方式通常有查询字符串参数、请求头、请求体数据或作为cookie。以下是不同传递方式的示例：
- 查询字符串参数： /api/v1/users?apikey=ju574n3x4mpl34p1k3y
- 请求头： "API-Secret": "17813fg8-46a7-5006-e235-45be7e9f2345"
- Cookie： Cookie: API-Key= 4n07h3r4p1k3y

获取API密钥的过程因提供者而异。以NASA API为例，消费者需使用姓名、电子邮件地址和可选的应用程序URL进行注册，生成的密钥类似 roS6SmRjLdxZzrNSAkxjCdb6WodSda2G9zc2Q7sK ，并作为URL参数包含在每个API请求中，如 api.nasa.gov/planetary/apod?api_key=roS6SmRjLdxZzrNSAkxjCdb6WodSda2G9zc2Q7sK 。

API密钥比基本认证更安全，因为足够长、复杂且随机生成的密钥很难被攻击者猜测或暴力破解，同时提供者可设置密钥的有效期。但API密钥也存在风险，如可能基于用户数据生成，导致被黑客猜测或伪造；还可能在在线存储库、代码注释中暴露，或在未加密连接传输时被拦截，甚至通过网络钓鱼被盗取。