设计安全REST API的5大OWASP安全建议

APIs 是现代应用程序之间通信的关键桥梁，通过它们，应用程序可以实现“对话”。REST APIs 作为一种常见的实现方式，使用 HTTPS 传递 HTTP 请求来完成数据交换。然而，由于 REST APIs 的开放性，它们也成为了攻击者的目标。本文将介绍 REST APIs 的基本概念，并结合 OWASP 提供的安全建议，帮助开发者设计更安全的 REST APIs。

什么是 OWASP？

开放 Web 应用程序安全项目（OWASP）是一个致力于提升软件安全性的非营利组织。它通过提供免费且公正的教育资源，帮助开发者和企业更好地保护其应用程序安全。

OWASP 网站包含丰富的资源，如社区论坛、文档、视频和免费工具。其中，最著名的是 OWASP 前 10 漏洞列表，这一列表自 2004 年首次发布以来，已成为软件安全领域的行业标准。尽管如此，单靠遵循 OWASP 前 10 名并不足以全面保护现代应用程序，特别是 REST APIs。因此，OWASP 发布了专门针对 REST APIs 的安全备忘单，提供了更具体的安全指导。

什么是应用程序编程接口（API）？

API（应用程序编程接口）是应用程序之间的通信桥梁。它通过一组协议、工具和例程，允许不同的应用程序相互交互和共享数据。

在物联网（IoT）设备中，API 用于设备之间的通信、网络通信以及与控制应用程序的交互。例如，智能家居设备通过 API 实现远程控制功能。同样，Web 应用程序也依赖 API 进行数据共享和功能扩展，例如将社交媒体账户连接到第三方应用程序，或浏览器扩展与浏览器 API 的交互。

什么是 REST API？

REST（Representational State Transfer，表述性状态转移）是一种 API 实现方法，基于 HTTP 协议进行数据传输和任务协调。REST APIs 通常使用 JSON（JavaScript 对象表示法）文件来压缩和传输数据。JSON 文件体积小、传输效率高，并且是标准化的 Web 文件，接收方浏览器无需额外支持即可读取。

REST 安全的意义

REST APIs 通过 HTTPS 实现安全通信，利用传输层安全（TLS）协议确保数据的私密性、身份验证和可靠性。然而，由于 REST APIs 的无状态特性，HTTP 请求中的数据可能成为攻击者的目标。因此，实施 REST 安全实践和解决方案至关重要，以确保通过 REST APIs 建立的连接是安全的。

OWASP REST 安全备忘单

OWASP REST 安全备忘单是一个针对 REST APIs 安全性的最佳实践指南，涵盖了 REST 架构的各个方面，并提供了具体的安全实现方法。以下是一些关键建议：

仅提供 HTTPS 端点：通过 HTTPS 保护传输中的身份验证凭据，并使用客户端证书进行双向认证。
使用身份提供者（IdP）：通过 IdP 生成身份验证令牌，并将访问控制决策本地化到 REST 端点。
保护 JWT 的完整性：始终使用加密签名或消息身份验证码（MAC）保护 JSON Web Token（JWT）的完整性。
限制 API 请求频率：为每个请求分配唯一的 API 密钥，并对过多请求返回 429 HTTP 状态码。
限制 HTTP 方法：通过跨源资源共享（CORS）技术限制 HTTP 方法的使用，并对被拒绝的方法返回 405 状态码。

实现 OWASP REST 安全最佳实践

保护 REST APIs 不一定复杂或耗时。以下是一些具体的实施建议：

1. 应用 HTTPS 标准

通过购买并安装 SSL 证书为网站启用 HTTPS。随后，检查代码库中的所有 HTTP 调用，并将其替换为 HTTPS。可以手动完成此操作，也可以使用自动化工具加速过程。

2. 使用身份提供者（IdP）

IdP 是一种管理身份信息的系统，它通过生成令牌来替代敏感数据。令牌是一串无意义的字符序列，用于保护用户的隐私和财务信息。IdP 在用户和应用程序之间充当中介，确保数据安全。

3. 加密 JWT

数字签名为 JWT 提供完整性、身份验证和不可否认性。开发者可以使用经过验证的 OAuth 2.0 服务器生成签名令牌，或将此任务委托给 IdP。

4. 添加 429 HTTP 返回码

429 状态码用于限制重复的 API 请求，防止 DDoS 攻击。开发者可以根据具体需求设置请求阈值，并对超出限制的请求返回 429 状态码。

5. 使用 CORS 限制 HTTP 方法

CORS 是一种控制资源共享的技术。通过配置 CORS，可以限制哪些 HTTP 方法可以被调用，以及哪些来源和凭据可以被授权访问。

总结

在当今高度互联的世界中，API 是网络、Web 应用程序和物联网设备正常运行的核心。然而，REST APIs 的开放性也使其成为攻击者的目标。通过实施 OWASP REST 安全最佳实践，开发者可以显著降低安全风险，保护应用程序和用户数据的安全。

REST APIs 的安全性不仅关乎技术实现，更关乎用户信任。通过遵循本文提到的安全建议，您可以为用户提供更安全的服务，同时增强系统的可靠性。

原文链接

https://www.linkedin.com/in/giladdavidmaayan/

原文链接: https://blog.restcase.com/top-5-owasp-security-tips-for-designing-secured-rest-apis/