Diseño de la pasarela API: control de derechos de la interfaz RESTful

¿Qué pueden hacer las IP proxy cuando las API chocan con el control de privilegios?

Recientemente, un montón de amigos hacen amigos de desarrollo de API y me quejé de que su propia interfaz siempre es llamado por un desconocido. Es como si su puerta de seguridad está abierta, cualquiera puede entrar y tomar las cosas. Este es el momento de confiar enProxy IP + Control de privilegiosAhora es la pareja de oro. La IP proxy equivale a expedir una tarjeta de acceso temporal a cada visitante, y el control de acceso es la lista de visitantes en manos del guardia de seguridad.

Tomemos el caso de nuestros clientes ipipgo, una plataforma de comercio electrónico fue originalmente más de 2.000 solicitudes por minuto por el robot cepillo. Después de utilizar nuestro grupo de proxy dinámico, primero filtramos el tráfico sospechoso a través de listas blancas de IP y, a continuación, utilizamos el.algoritmo token bucketControlando la frecuencia de las llamadas por IP, las solicitudes maliciosas se reducen ahora directamente en un 90%.

Tres consejos para proteger la interfaz

He aquí algunos consejos prácticos para los chicos:

Primer paso: autenticación IP

No seas tonto y limítate a usar la clave API y poner un chaleco de IP proxy en cada petición. Es como ir al banco y tener que enseñar tu DNI (clave) y comprobar tu número de móvil reservado (atribución de IP). Nuestro servicio de proxy ipipgo soportaAsignación geográfica de IPEl negocio norteamericano utilizará la IP Oeste de EE.UU., y el negocio nacional se conectará automáticamente al nodo de Hangzhou.

Consejo nº 2: Limitador de tráfico

Sugiera un mecanismo de doble seguro:

Consejo nº 3: Crisis anormales

Las siguientes situaciones se incluyen directamente en la lista negra:

- La misma IP proxy cambia 3 claves API en 5 segundos
- Los parámetros de la solicitud contienen caracteres especiales SQL
- El tráfico se multiplica por 10 de 2 a 5 de la mañana

Este es el momento recomendado para utilizar el programa de ipipgoInterfaz de bloqueo de IP en tiempo realSi encuentra una anomalía, puede llamar directamente a la API para expulsar la IP problemática de la lista blanca.

Guía práctica para evitar el pozo

Tres errores comunes de los novatos:

1. IP del proxy como clave maestra (en realidad con cifrado HTTPS)
2. Las políticas de permisos están escritas en el código (deberían ajustarse dinámicamente a través del backend de administración de ipipgo).
3. Ignorar los controles de calidad de las IP (hace tiempo que algunos proveedores de proxy tienen sus IP etiquetadas como de alto riesgo)

sesión de preguntas y respuestas

P: ¿El uso de una IP proxy afectará a la velocidad de respuesta de la API?
R: Elija el proveedor de servicios adecuado no tiene que preocuparse en absoluto. Como la línea de tránsito BGP de ipipgo, la latencia medida es 15ms menor que la conexión directa, pero tenga cuidado de no programar IPs a través de continentes, como los usuarios europeos no utilizan nodos asiáticos.

P: ¿Qué diferencia hay entre un agente libre y un agente remunerado?
R: Digámoslo de esta manera, los proxies gratuitos son como las toallas de papel en un baño público, pueden desaparecer un día. el pool comercial de proxies de ipipgo tiene3 millones + PI residencialTambién tenemos un equipo dedicado al cumplimiento que realiza auditorías.

P: ¿Cómo evitar que la clave API sea crackeada a la inversa?
R: Le enseñaré un truco: Vincule la clave a la IP del proxy, incluso si la clave se filtra, es inútil si el hacker no está en la lista blanca. Incluso si la clave es filtrada y la IP usada por el hacker no está en la lista blanca, es inútil. La consola de ipipgo tiene esta opción de configuración, sólo tienes que marcar "joint IP-key authentication".

Di algo desde el corazón.

Participar en el control de privilegios es como poner chalecos antibalas en las APIs, y las IPs proxy son complementos antibalas. No esperes a que te ataquen para acordarte de protegerte, ¡utiliza ahora el paquete para recién llegados de ipipgo y consigue los tres primeros meses gratis!Caudal 50G. Su función de enrutamiento inteligente es una auténtica maravilla, ya que evita automáticamente los segmentos IP marcados, lo que ahorra mucho trabajo en comparación con el mantenimiento manual de una lista negra.

Por último, me gustaría recordarle que la política de permisos no es una solución única, y se recomienda realizar una prueba de penetración una vez al mes. Encontrar incertidumbre, directamente al sistema de orden de trabajo de ipipgo para encontrar soporte técnico, los ingenieros han tratado con una variedad de casos de ataques extraños, la experiencia es muy experimentado.