API(Application Programming Interface，应用程序插口)是一些事先界定的插口(如函数公式、HTTP插口)，或指系统软件不一样构成部分对接的承诺。尽管API为联接各手机软件部件带来了一套高效的架构，但他们通常将后面数据信息泄露给第三方，因此变成攻击者的具体总体目标。
不安全的API会不断扩张应用程序攻击面，让网络黑客更易于开展侦查、搜集配备信息内容及其方案策划黑客攻击。日前，OWASP(Open Web Application Security Project，敞开式Web应用程序安全性新项目，一个专注于提升手机软件安全系数的非盈利慈善基金会)列举了十大API系统漏洞，机构必须当心这种系统漏洞风险性，实际包含：
1、毁坏的对象级受权
API借助对象级受权来认证合理合法用户的資源访问管理权限。API端点接到所要求对象的ID后，在编码级执行受权查验体制，以保证用户有权利实行所要求的实际操作。API通常会曝露为对象给予标志符的端点。要是没有对象级受权查验或执行不合理，攻击者可以控制所要求对象的API端点，以后没法恰当认证递交要求的用户有着需要的資源访问管理权限，进而授于没经认证的访问权。
2、损伤的用户身份认证
依照设计方案，API端点务必曝露给外界服务项目，并由各种各样代理商应用用户身份认证来访问。因而，API端点执行的认证不充足或有误，会让故意用户可以临时毁坏合理合法用户的认证动态口令，以访问比较敏感信息内容。API端点损伤的认证很有可能会发生好几个问题。造成认证损伤的一些普遍不正确配备包含如下所示：
- 不安全的内部结构API
- 欠缺的API密匙，密钥又不常常交替
- 应用GET主要参数推送比较敏感数据的API端点
- 失效的动态口令访问认证/JWT访问动态口令缺乏认证
- 使端点非常容易遭受凭据添充进攻和蛮干进攻的受权缺点
- 明文密码/管理方法不当的登陆密码
用户认证损伤的API容许故意网络黑客假冒合理合法用户的真实身份，进而为更比较严重、更繁杂的进攻给予机遇。
3、数据信息曝露过多
解决用户要求时，API通常依靠手机客户端UI过虑访问的数据信息。用户要求访问資源时，API回到储存在应用程序中的详细数据信息对象。随后，手机客户端应用程序过虑回应，仅表明用户要想查询的信息内容。缺憾的是，开发者经常不正确地将API设定为通用性数据库。这样一来，攻击者可以同时启用API，以访问手机客户端UI应过虑掉的数据信息。攻击者依据曝露內容开展毁坏，或应用曝露的统计数据来提高管理权限。
4、欠缺資源和速度限定
一些API缺乏默认设置体制以限定来源于特殊手机客户端的要求次数和总数。网络黑客使用这一空档，传出提交/改动大文件的要求，或是向API传出很多要求，进而使API服务器承受不住。在这样的情况下，API硬件配置很有可能耗光运行内存、服务器带宽和CPU，并碰到跨站脚本攻击。这提高了API的发作時间(relapse time)，降低了API可以解决的手机客户端总数，经常造成拒绝服务攻击。
5、大批量分派
当API将手机客户端给予的信息关联到应用程序，又无合理的过虑技术性时，便会产生大批量分派。开发者应用关联方式，根据函数公式将用户键入与内部结构对象和编码自变量关联，以加速开发进度。攻击者可以根据评定API构造和对象关联，搜索大批量分派系统漏洞，以升级和改动致力于掩藏起來的对象特性。一旦攻击者改动了比较敏感对象的特性，通常会提高管理权限、绕开安全大检查并伪造隐秘数据。
6、安全性配备不正确
API資源、应用程序基础架构和传输协议很有可能带有不正确配备，因此会造成安全事故。这种不正确配备很有可能出现于API資源、传输协议或应用程序基础架构中。这包含：
- 应用沒有认证或验证欠缺的默认设置配备
- 未申请强制执行HTTPS
- 多余的HTTP方式
- 不正确配备的HTTP标头
- 未净化处理解决的键入造成数据信息损伤
- 数据泄漏
- 打开的云储存
- 详尽冗杂的不正确信息
- 临时性配备
- 跨域请求共享资源
7、故意引入
API端点通常将用户数据信息做为要求主要参数来应用，或在其URL中使用。当API端点没有内嵌体制来区别不会受到信赖的用户数据信息时，攻击者可以将故意键入引入应用程序。攻击者还能够将这种不会受到信赖的信息做为指令/查看的一部分，引诱应用程序实行他们，进而访问隐秘数据。
欠缺适宜的键入数据验证会造成引入进攻，包含数据泄漏、管理权限提高或拒绝服务攻击。普遍的指令引入系统漏洞包含：带API主要参数的SQL引入、电脑操作系统指令引入和跨站脚本制作等。
8、投资管理不合理
因为当代应用程序开发设计的交货周期时间很短，DevOps精英团队常常将大量的API布署到环境中，这提供了投资管理问题。最先，向后兼容的规定驱使DevOps精英团队让旧版API再次运作。攻击者通常垂涎这种旧版，钻安全大检查体制的空档。别的API很有可能未遵循数据治理现行政策，使其变成数据信息曝露的核心通道点。
9、日志和监管不及时
大部分API进攻产生在一段期内内，攻击者必须花时间找寻系统漏洞，并筹备适合的进攻对策。依靠恰当的日志和监管体制，开发设计队伍可以第一时间发觉故意行为。缺憾的是，大部分机构为网站服务器和互联网事情执行了适度的日志体制，却通常缺少充足及时的对于API的日志监管体制。导致这种现象的一个重要因素是，开发者未深入了解API的运用状况。
結果，造成开发者漏过去了众多安全事故，例如键入验证失败、身份认证查验不成功及其说明失效访问的别的应用程序不正确。在都没有这类报警的情形下，攻击者可以长期不被发觉，因此可以全方位运用系统软件。
10、作用级受权无效
作用级受权无效就是指应用程序无法将比较敏感作用限定给受权用户。与毁坏的对象级受权不一样，此缺点专指没经认证的用户什么时候可以访问她们不可访问的脆弱或受到限制作用。例如，当一个用户可以改动另一个用户的帐户或一般用户可以访问网站上的监管作用时，没经认证的用户就可以访问比较敏感作用。这种问题由缺乏或不正确配备的访问操纵造成。
参照连接：https://crashtest-security.com/owasp-api-top-10/