API 授权允许公共创建操作风险？

Question

我想知道我所提议的是我所拥有的系统的典型场景，还是我应该关注的关于 API 安全性的事情。

该系统是一个小部件，可以放置在任何网站上，允许通过 API 将成员添加到我的一个用户活动中。

Member Name
Member ID
Who the Member belongs to (user ID)

我有一个名为 members 的 API 资源。每个成员都属于我系统的一个用户。

我创建了如下表所示的授权。 注意：授权是指“授予该用户执行此操作的权限”，不要将其与身份验证（即访问 API）混淆：

==============  =======  =======  =======  =======
Resource        Create   Read     Update   Delete
==============  =======  =======  =======  =======
Member          Public   Owner    Owner    No
==============  =======  =======  =======  =======

公开我的意思是任何无论是谁都可以创建一个新成员。但是，一旦创建此记录，只有所有者（创建它的用户）才能读取或更新它。

我看不出有人如何解决 create 记录公开这一问题，因为这是通过我无法控制的站点外部的 javascript 发生的（客户端）。我没有办法知道是谁。但是，之后对该成员进行任何操作都需要用户登录到我的站点并获得控制权。

我可以看到正在为我的用户创建大量假会员，但我认为无法阻止这种情况

会有人这样做吗？还是我想太多了？

注意： 添加 Python 标记是因为它是 Python API，也许这会有所不同。作为客户端添加的 Javascript 标记是脚本。如果不是或偏离主题，我将删除标签或问题。

Answer 1

该系统本身没有任何缺陷，但也不是不可能规避的。例如，如果某人是好人，他们可以伪造一个 IP 地址，因此如果您只查看 IP 地址，则可以从一台计算机创建多个帐户。如果此人可以使用虚假身份识别，则很难阻止多个帐户，但您可以尝试识别可能表明虚假用户的活动或缺乏活动。对抗假用户安全问题的最佳方法可能是让用户也必须提供电子邮件地址等信息，并限制一个电子邮件地址下的用户数量。这应该会显着减缓任何问题。如果你让他们“跳槽”，如果有人试图伪造账户，伪造和追踪就会变得更加困难。如果您希望用户更加匿名，那么任何无法以电子方式创建或管理用户的方法都会有很大帮助，所以像验证码这样的东西会有所帮助。