按預(yù)期受眾劃分的APIs類型

1. 公共APIs。也稱為外部或開放式APIs，可供開發(fā)人員和其他用戶使用，限制最小。
2. 合作伙伴APIs。它們不公開，也不由戰(zhàn)略業(yè)務(wù)合作伙伴提供，需要特定權(quán)限才能訪問它們。
3. 內(nèi)部APIs。也稱為私有APIs，它們對外部用戶隱藏，僅向內(nèi)部系統(tǒng)和內(nèi)部開發(fā)團(tuán)隊(duì)公開。
4. 復(fù)合APIs。復(fù)合APIs組合了多個數(shù)據(jù)或服務(wù)APIs。它們在微服務(wù)架構(gòu)中很有用，在這種架構(gòu)中，需要來自多個服務(wù)的信息來執(zhí)行單個任務(wù)。

按協(xié)議劃分的APIs類型

1. REST.表示狀態(tài)傳輸（REST）體系結(jié)構(gòu)是最流行的方法，它依賴于分離API前端和后端的客戶機(jī)/服務(wù)器方法，并在開發(fā)和實(shí)現(xiàn)中提供了相當(dāng)大的靈活性。REST是無狀態(tài)的，這意味著API在請求之間不存儲數(shù)據(jù)或狀態(tài)。
2. RPC。遠(yuǎn)程過程調(diào)用（RPC）協(xié)議是一種發(fā)送多個參數(shù)和接收結(jié)果的簡單方法。RPC APIs調(diào)用可執(zhí)行的操作或進(jìn)程，而REST APIs主要交換數(shù)據(jù)或資源，如文檔。
3. 肥皂。簡單對象訪問協(xié)議（SOAP）是由萬維網(wǎng)聯(lián)盟定義的消息傳遞標(biāo)準(zhǔn)，通常用于創(chuàng)建Web APIs，通常使用XML，盡管它支持多種通信協(xié)議。

上下文中的API安全性

API安全性位于以下三個方面的交叉點(diǎn)：

1. 信息安全涉及信息從創(chuàng)建到最終銷毀的整個生命周期的保護(hù)。
2. 網(wǎng)絡(luò)安全涉及保護(hù)網(wǎng)絡(luò)上的數(shù)據(jù)流，以及防止未經(jīng)授權(quán)訪問網(wǎng)絡(luò)本身。
3. 應(yīng)用程序安全確保軟件系統(tǒng)的設(shè)計(jì)和構(gòu)建能夠抵御攻擊和濫用。

API安全：最重要的控制

1. 所有權(quán)和管理。每個API都應(yīng)該有一個所有者或提供商，他們將通過適當(dāng)?shù)腟LA定義和發(fā)布使用條款，以限制API的使用和使用方式，并根據(jù)定義和約定的SLA隨時修改API的實(shí)施。
2. 根據(jù)公司政策設(shè)計(jì)API。應(yīng)制定一項(xiàng)關(guān)于API的政策，明確說明APIs與技術(shù)無關(guān)，這意味著它不應(yīng)依賴于應(yīng)用程序、編程語言和平臺。
3. 隱私和安全。API的設(shè)計(jì)應(yīng)確保消費(fèi)者數(shù)據(jù)的隱私，并啟用審計(jì)跟蹤以供審查。數(shù)據(jù)應(yīng)該具有端到端的安全性，并且應(yīng)該與網(wǎng)絡(luò)無關(guān)，以數(shù)據(jù)為中心。
4. API治理。APIs應(yīng)按照既定的數(shù)字戰(zhàn)略開發(fā)，并應(yīng)明確回答以下問題：
   • 取得了哪些業(yè)務(wù)成果？
   • 目標(biāo)受眾是誰？
   • API的愿景是什么？它是否已經(jīng)社會化了？
   • 我們是否建立了API架構(gòu)和組件的重用？
   • API安全最佳實(shí)踐是否已激活？
   • 是否有有效的API生命周期管理？
   • APIs是否符合現(xiàn)行法律法規(guī)？
   • 是否定期對APIs進(jìn)行漏洞評估和滲透測試，是否及時采取糾正措施？
5. 審計(jì)控制
   • 從源到目標(biāo)的數(shù)據(jù)傳輸是否受到監(jiān)控，如果發(fā)生故障，是否向管理員發(fā)出通知，是否記錄在審計(jì)跟蹤中？
   • 匿名APIs是否被禁止？
   • APIs上部署的用戶標(biāo)識和密碼是否用于內(nèi)部開發(fā)和培訓(xùn)目的？
   • API密鑰身份驗(yàn)證是否用于保護(hù)應(yīng)用程序的身份驗(yàn)證？
   • 數(shù)字證書是否用于所有B2B通信？
   • 是否為內(nèi)部和外部生產(chǎn)APIs部署了OAuth2.0和安全令牌？

作者注：所表達(dá)的觀點(diǎn)是作者自己的觀點(diǎn)，不一定代表他所屬組織或認(rèn)證機(jī)構(gòu)的觀點(diǎn)。

原文鏈接: https://www.isaca.org/resources/news-and-trends/isaca-now-blog/2023/api-security-an-internal-auditors-quick-reference

#你可能也喜歡這些API文章!

快速提醒：用電子郵件發(fā)送短信獲取航天信息電子發(fā)票接口

如何使用rest api發(fā)送電子郵件

MongoDB 基本使用：工具、API、Spring 集成

DeepSeek R1 × 飛書多維表格賦能教育領(lǐng)域

API接口安全性設(shè)計(jì)，項(xiàng)目中該如何保證API接口安全?

引爆排名秘訣！AI+SEO API助力網(wǎng)站優(yōu)化

免費(fèi)測試Kimi，無需api key(秘鑰)

如何獲取Microsoft API Key 密鑰實(shí)現(xiàn)bing搜索分步指南

PyJWT：輕松搞定Token認(rèn)證，讓你的API更安全！