對(duì)大多數(shù)IT技術(shù)人員來(lái)說(shuō)，API這個(gè)詞并不陌生。而對(duì)架構(gòu)師、研發(fā)工程師、安全工程師來(lái)說(shuō)，API則更是日常工作中接觸并熟知的內(nèi)容。從2008年國(guó)內(nèi)API經(jīng)濟(jì)活躍伊始，各個(gè)互聯(lián)網(wǎng)企業(yè)紛紛構(gòu)建自己的API開(kāi)放平臺(tái)，2012年API模式日益成熟，大量API安全問(wèn)題在2013年之后也逐漸暴露出來(lái)。如今，仍可以通過(guò)漏洞平臺(tái)、安全大會(huì)議題、企業(yè)安全應(yīng)急響應(yīng)中心看到這些痕跡。雖然API安全問(wèn)題或安全事件時(shí)有發(fā)生，但企業(yè)對(duì)API安全的真正重視程度，仍比技術(shù)應(yīng)用落后很多。這其中固然有企業(yè)的原因，但技術(shù)人員自身API安全知識(shí)的缺乏也是其中的重要因素之一，再加上已出版的關(guān)于API安全的圖書(shū)尤其少，于是作者決定寫(xiě)一本API安全方面的專業(yè)書(shū)籍。
1．本書(shū)的主要內(nèi)容和特色
本書(shū)主要是為IT技術(shù)人員提供API安全知識(shí)和技術(shù)實(shí)戰(zhàn)方面的案例講解，采用理論和實(shí)踐相結(jié)合的模式，由基礎(chǔ)篇、設(shè)計(jì)篇、治理篇三個(gè)部分組成，為讀者講述API安全的基本概況、API安全漏洞、API安全設(shè)計(jì)以及API生命周期安全管理等內(nèi)容。
基礎(chǔ)篇包括第1～5章。
第1章 API的前世今生 結(jié)合互聯(lián)網(wǎng)技術(shù)的發(fā)展，介紹API技術(shù)的發(fā)展。重點(diǎn)圍繞當(dāng)下不同的API技術(shù)，如RESTful API技術(shù)、GraphQL API技術(shù)、SOAP API技術(shù)等，來(lái)介紹其技術(shù)特點(diǎn)。最后，簡(jiǎn)要講述了頭部互聯(lián)網(wǎng)公司API的使用現(xiàn)狀。
第2章 API安全的演變 以API安全的含義為切入點(diǎn)，講述API安全關(guān)注的重點(diǎn)內(nèi)容、API漏洞類型以及API安全的未來(lái)趨勢(shì)。
第3章 典型API安全漏洞剖析 從最近三年的安全漏洞案例中，精心挑選出5個(gè)有代表性的案例，分別從漏洞基本信息、漏洞利用過(guò)程、漏洞啟示三個(gè)方面，為讀者講述典型的API安全漏洞原理。
第4章 API安全工具集 結(jié)合API生命周期，從需求、設(shè)計(jì)、編碼、測(cè)試、運(yùn)維等角度，介紹與API安全相關(guān)的工具，并對(duì)部分工具做了重點(diǎn)說(shuō)明。
第5章 API滲透測(cè)試 參考業(yè)界標(biāo)準(zhǔn)滲透基本流程，介紹了API滲透測(cè)試過(guò)程中的注意事項(xiàng)和關(guān)鍵點(diǎn)，并分析了RESTful API、GraphQL API、SOAP API等API滲透測(cè)試技術(shù)的特點(diǎn)。最后，通過(guò)案例講述了API安全工具的典型用法。
設(shè)計(jì)篇包括第6～9章。
第6章 API安全設(shè)計(jì)基礎(chǔ) 介紹了API安全設(shè)計(jì)技術(shù)棧，并結(jié)合5A原則和縱深防御原則，對(duì)不同的API安全關(guān)鍵技術(shù)做了簡(jiǎn)要講述，幫助讀者初步構(gòu)建API安全設(shè)計(jì)的整體概念。最后，以API安全中南北向、東西向場(chǎng)景為例，分別做了導(dǎo)入性的案例分析。
第7章 API身份認(rèn)證 從身份認(rèn)證的概念入手，主要講述了HTTP Basic基本認(rèn)證、AK/SK認(rèn)證、Token認(rèn)證等API身份認(rèn)證技術(shù)，并重點(diǎn)介紹了OpenID Connect身份認(rèn)證協(xié)議及常見(jiàn)安全漏洞。最后，結(jié)合微軟Azure云、支付寶第三方應(yīng)用公開(kāi)文檔，分析了API身份認(rèn)證技術(shù)的安全設(shè)計(jì)細(xì)節(jié)。
第8章 API授權(quán)與訪問(wèn)控制 結(jié)合授權(quán)與訪問(wèn)控制的基本概念，重點(diǎn)講述了OAuth 2.0協(xié)議、RBAC模型的相關(guān)流程與設(shè)計(jì)，分析了常見(jiàn)授權(quán)與訪問(wèn)控制的安全漏洞成因。最后，結(jié)合百度開(kāi)放云平臺(tái)、微信公眾平臺(tái)等第三方平臺(tái)公開(kāi)文檔，分析了API授權(quán)與訪問(wèn)控制技術(shù)的安全設(shè)計(jì)細(xì)節(jié)。
第9章 API消息保護(hù) 主要從傳輸層、應(yīng)用層介紹了消息保護(hù)相關(guān)技術(shù)及常見(jiàn)漏洞，如TLS、JWT、JOSE、Paseto技術(shù)等。最后，結(jié)合百度智能小程序OpenCard、微信支付的官方文檔，對(duì)消息保護(hù)過(guò)程進(jìn)行了案例分析。
治理篇包括第10～13章。
第10章 API安全與SDL 結(jié)合微軟SDL模型，講述了在API生命周期安全管理中涉及的安全活動(dòng)，并挑選出了關(guān)鍵的安全活動(dòng)從活動(dòng)實(shí)踐、工具依賴兩個(gè)方面展開(kāi)敘述，為下一章做知識(shí)導(dǎo)入。
第11章 API安全與DevSecOps 從DevSecOps視角，重點(diǎn)介紹了API安全在工具鏈和自動(dòng)化管理上的實(shí)踐，比如設(shè)置關(guān)鍵卡點(diǎn)、引入API網(wǎng)關(guān)、接入WAF等。
第12章 API安全與API網(wǎng)關(guān) 從開(kāi)源API安全產(chǎn)品的角度，分析API網(wǎng)關(guān)的基本產(chǎn)品組成部分以及上下文關(guān)系，并對(duì)Kong API網(wǎng)關(guān)、WSO2 API管理平臺(tái)做了重點(diǎn)介紹。最后，結(jié)合花椒直播Kong應(yīng)用實(shí)踐做了案例分析。
第13章 API安全與數(shù)據(jù)隱私 從隱私保護(hù)的視角，結(jié)合數(shù)據(jù)安全的生命周期，介紹了API安全中如何保護(hù)數(shù)據(jù)隱私，并結(jié)合Microsoft API 使用條款、京東商家開(kāi)放平臺(tái)API敏感信息處理兩個(gè)案例，分析了API安全中的數(shù)據(jù)隱私實(shí)踐。
2．本書(shū)面向的讀者
本書(shū)適用于網(wǎng)絡(luò)安全人員、軟件開(kāi)發(fā)人員、系統(tǒng)架構(gòu)師以及高等院校相關(guān)專業(yè)師生閱讀學(xué)習(xí)。
? 網(wǎng)絡(luò)安全人員：主要是從事Web滲透測(cè)試、攻防對(duì)抗、SDL運(yùn)營(yíng)等相關(guān)人員，幫助此類人員快速建立API安全相關(guān)知識(shí)脈絡(luò)，構(gòu)建API基礎(chǔ)安全知識(shí)框架。
? 軟件開(kāi)發(fā)人員：主要是從事API技術(shù)開(kāi)發(fā)相關(guān)人員，幫助此類人員厘清API相關(guān)技術(shù)棧和典型安全漏洞，能運(yùn)用工具有效提高開(kāi)發(fā)質(zhì)量。
? 系統(tǒng)架構(gòu)師：主要是致力于提高系統(tǒng)安全性的架構(gòu)師，能幫助架構(gòu)師有效地厘清API安全技術(shù)，并通過(guò)案例分析，指導(dǎo)API安全設(shè)計(jì)。
? 高等院校相關(guān)專業(yè)師生：了解API安全知識(shí)，尤其是與API安全技術(shù)相關(guān)的漏洞、工具、協(xié)議、流程等。
3．致謝
借本書(shū)的出版，感謝我在網(wǎng)絡(luò)安全行業(yè)中工作過(guò)的企業(yè)，是它們給了我學(xué)習(xí)和鍛煉的機(jī)會(huì)，尤其是亞信安全的鄭海剛和孫勇，一位是帶領(lǐng)我進(jìn)入網(wǎng)絡(luò)安全行業(yè)的引路人，另一位則是