一、什么是API安全
API 安全（API Security）是针对 API 在设计、开发、部署、运行全生命周期中面临的滥用、越权、注入、数据泄露、业务逻辑攻击等威胁，构建的体系化防护方法、技术与治理实践。它与传统 Web 安全的核心区别在于：传统 Web 安全聚焦页面与浏览器攻击面，而 API 安全聚焦「接口契约、身份授权、数据流与业务逻辑滥用」，需要从身份（OAuth/JWT）、访问控制（BOLA/BFLA）、输入验证、流量治理、资产管理五个维度同步建设。在云原生与微服务主导架构下，OWASP API Security Top 10 持续推动行业实践，API 安全也从单点网关防护走向「设计-开发-部署-运行」全链路治理。
二、原理
1. 资产盘点：通过流量嗅探、SDK 指纹、Swagger/OpenAPI 仓库扫描发现所有 API（含影子 API、僵尸 API） → 2. 威胁建模：基于 OWASP API Security Top 10 识别认证、授权、输入验证、数据暴露、限流等威胁面 → 3. 身份与访问控制：在 API 网关层实施 OAuth 2.0 / JWT / mTLS 鉴权，并按用户/对象级权限做 BOLA/越权校验 → 4. 输入与协议校验：用 OpenAPI Schema 做严格请求/响应校验，阻断注入与异常 payload → 5. 流量治理：部署限流、熔断、Bot 防御、异常行为检测，防范爬取、重放与滥用 → 6. 监控与响应：持续监控 API 调用链与敏感数据访问，结合 SIEM/SOAR 完成告警分诊与应急响应
三、信息卡片
| 中文名 | API安全 |
| 英文名 | API Security |
| 缩写 | API Security |
| 别名 | 接口安全、API 防护、API Security |
| 提出者 | OWASP API Security Top 10 项目（社区主导）；代表厂商 Akamai、Imperva、Noname Security、42Crunch、Salt Security |
| 提出时间 | OWASP API Security Top 10 首发于 2019 年；2023 年起 API 滥用被纳入 OWASP Top 10 |
| 所属类别 | 网络安全 > 应用安全 > 接口安全 |
| 核心技术 | OAuth 2.0 / JWT 鉴权、BOLA/越权防护、Schema 校验、API 网关、WAF、运行时 API 防护、影子 API 发现 |
| 主要应用 | 金融与支付 API、政务与公共数据 API、SaaS 与开放平台、API 网关、零信任 API 接入、API 资产管理 |
四、历史时间线
2010-2015 年：RESTful API 规模化普及，API 网关成为流量治理入口，但安全多依赖网关+通用 WAF
- 2016-2018 年：移动互联与开放银行推动 API 大规模对外，OAuth 2.0、JWT 成为事实鉴权标准
- 2019 年：OWASP 发布首版 API Security Top 10，BOLA（Broken Object Level Authorization）列为头号威胁
- 2020-2022 年：GraphQL、gRPC、新型 API 协议兴起，影子 API 与过度数据暴露问题集中爆发
- 2023 年：OWASP 将「API 滥用」纳入 Web Top 10，API 安全成为云原生安全的独立赛道
- 2024-2025 年：AI 驱动的 API 异常检测规模化，与零信任、API 网关、eBPF 内核技术深度融合
五、分类
按 API 协议：RESTful API 安全、GraphQL 安全、gRPC 安全、WebSocket 安全
- 按威胁面：认证失效、授权失效（BOLA/BFLA）、注入、过度数据暴露、限流缺失、安全配置错误
- 按防护层次：设计期（威胁建模 + OpenAPI 契约）vs 开发期（SAST/代码审计）vs 运行期（API 网关/WAF/RASP）
- 按部署形态：东西向 API 安全（微服务间调用）vs 南北向 API 安全（对外开放接口）vs 第三方 API 安全
- 按成熟度模型：基础（网关鉴权+限流）→ 进阶（Schema 校验+敏感数据治理）→ 高级（影子 API 发现+行为基线+零信任 API）
六、应用场景
开放银行与支付 API：在金融行业对第三方调用方做 OAuth 2.0 + mTLS + 细粒度授权，防范大规模数据泄露
- 政务与公共数据 API：通过统一 API 网关做身份认证、流量治理与审计，满足数据安全与合规要求
- SaaS 与开放平台：为开发者提供 API Key + 配额管理、限流与异常调用监控，保护平台核心数据资产
- 微服务东西向安全：服务间调用通过服务网格 Service Mesh + mTLS 实现零信任身份与流量加密
- AI/LLM 应用安全：保护 RAG · 检索增强生成、Function Calling、MCP · 模型上下文协议 等场景下的接口与数据
- 零信任 API 接入：按用户、设备、行为上下文对每次 API 调用做动态授权，是零信任 Zero Trust 最细粒度的执行点
七、优缺点
优点：防止大规模数据泄露：BOLA/越权与过度数据暴露是数据泄露主因，专项治理可直接降低风险；保障业务连续性：限流/熔断/Bot 防御可有效防范 API DDoS 与爬取滥用；满足合规硬要求：满足个保法、GDPR、PCI DSS、API 安全管理规范等对 API 的合规要求；支撑零信任落地：API 是零信任最细粒度的执行点，API 安全的成熟度直接决定零信任落地深度
- 缺点：资产难盘点：影子 API、僵尸 API、第三方 API 难以完整识别，常成为攻击盲区；业务逻辑漏洞难自动化：BOLA/越权等业务逻辑漏洞依赖人工威胁建模，难以靠通用 WAF 兜底；协议碎片化：REST/GraphQL/gRPC/WebSocket/SOAP 协议差异大，防护策略难以统一；性能与安全平衡难：深度 Schema 校验、行为基线检测会带来延迟，需要在性能与安全之间精细权衡
八、常见误区
API 安全 = Web 安全（错：Web 安全聚焦页面与浏览器攻击面，API 安全聚焦接口契约、身份授权与业务逻辑滥用，方法论差异显著）
- 传统 WAF 能搞定（错：WAF 基于 HTTP 流量特征，对 BOLA、过度数据暴露、业务逻辑滥用等 API 原生威胁基本无效）
- 网关做了鉴权就安全（错：身份认证只是第一道关，BOLA/越权、字段级越权才是 API 数据泄露的核心根源）
- 内部 API 不用防护（错：东西向 API 已成为攻击者横向移动的关键通道，需要服务网格 mTLS + 零信任策略覆盖）
九、关联概念
- 父概念：零信任 Zero Trust、API · 应用程序接口
- 子概念：API 网关、RESTful API、GraphQL、gRPC、Service Mesh服务网格
- 兄弟概念：DevSecOps、零信任 Zero Trust、供应链安全 SBOM、防火墙 Firewall、渗透测试 Penetration Testing，Pentest
- 对比概念：DevSecOps、零信任 Zero Trust、Service Mesh服务网格、防火墙 Firewall
- 应用相关：API 网关、API · 应用程序接口、RESTful API、DevSecOps、零信任 Zero Trust
