保护 AJAX 使用的 API

Question

我有一个 REST JSON API（内置于 .NET），需要由以下客户端（通过 HTTPS）使用：

1. SPA 网站 (AJAX)
2. 移动应用程序

一切（API、SPA 网站、移动应用程序）都在内部。

通常对于 API，我会使用基本身份验证，但很明显，一旦您将 API 开放给 AJAX，安全性就会变得棘手。

关于“保护”API 的说明 - 我主要是想阻止爬虫对 API 进行黑客攻击/锤击，而且数据并不是完全保密的。

这是我想到的解决方案：

1. 什么都不做。让它保持打开状态，但使用节流/速率限制来阻止我的 API 被抓取。
2. 创建 AJAX 调用需要通过的中间人服务器。显然这意味着有额外的延迟，代码等加倍。
3. 在客户端/服务器之间使用带有 nonces 和约定消息格式的 HMAC 身份验证，并且只允许来自一组允许的域的 CORS。 （是的，我知道 Origin 标头可以被欺骗）。

我倾向于选项 3。由于我们通过 HTTPS，因此无法嗅探请求，但显然我可以简单地转到 SPA 应用程序，打开 Fiddler 并查看 HMAC 消息，但随机数会停止重放攻击。显然，如果有人有这种倾向，他们可以下载 SPA 应用程序的 minified JS，找到 AJAX 调用发生的位置，并以某种方式找出 HMAC 格式。这是我能看到的唯一缺点。

我能不能给点建议？

谢谢

Answer 1

我认为您有很好的想法来保护您的 Web API。以下是一些额外的想法：

• 您应该更喜欢基于令牌的身份验证而不是基本身份验证。这允许添加过期，刷新，......我写了一篇关于这个主题的文章：https://templth.wordpress.com/2015/01/05/implementing-authentication-with-tokens-for-restful-applications/
• 如果您将安全上下文存储在其中，您还应该注意可能用于 SPA 的 XSS。如果您选择保留基本身份验证，则它实际上并不适用，因为浏览器会为您保留此上下文。以下是有关这些方面的一些链接：What are (if any) the security drawbacks of REST Basic Authentication with Javascript clients? 和 Is there any safe way to keep rest auth token on the client side for SPA?。请注意，像 Angular 这样的 JS 框架提供了支持来防止这种情况发生。
• 使用速率限制也是一件好事。它将为刮板黑客提供保护。您可以查看此级别的 Restlet 以获得建议：http://restlet.com/technical-resources/restlet-framework/guide/2.3/extensions/apispark/firewall。
• 选项 3 可能有点强，但您可以实施一种安全机制，例如 AWS 使用/提供的（基于签名的）安全机制。它使用访问密钥标识符对请求进行签名（请参阅此链接http://docs.aws.amazon.com/AmazonS3/latest/dev/RESTAuthentication.html）。 Restlet 中的此类可以为您提供有关实现的提示：https://github.com/restlet/restlet-framework-java/blob/master/modules/org.restlet.ext.crypto/src/org/restlet/ext/crypto/internal/AwsUtils.java。

我认为，如果您使用/考虑/实施部分或全部机制，您的 Web API 将获得非常好的身份验证和安全性；-)

希望对你有帮助， 蒂埃里