PHP 中的文件管理器 API

Question

我计划开发一个在线文件管理器应用程序来管理（添加/编辑/更新/复制/删除）我的客户（我的业务客户）的服务器文件。而不是使用 Filezila 或任何此类 FTP 应用程序。因为没有这样的选项来跟踪这些应用程序中的文件更改历史记录。

我的想法是

1. 在生产服务器中放置代理文件 (http://example-client-site.com/file-manager-api.php)

2. 从我在线托管的项目管理系统中调用代理文件 (file-manager-api.php)。 (http://example-proj-mgmt.com)

3. 所以我可以从我的项目管理系统（如 REST API）访问生产服务器文件，而无需通过 FTP 连接。

我的问题是，通过 URL REST API 方法访问服务器的方式存在哪些安全问题？

请给我一些解决安全问题的想法。

提前致谢:)

Answer 1

概念很好，我只关心安全。您可以做的是保留诸如令牌或授权密钥之类的东西，只有授权用户才能访问它，因为涉及的是 REST API。

1. 授权（Tokn 密钥）
2. 防止跨站点请求伪造
3. 不安全的直接对象引用
4. 网址验证
5. 安全解析和强类型化
6. 验证传入的内容类型
7. JSON 编码
8. 消息完整性