API 防护的重点不是攻击特征
API 流量多数是结构化的正常请求，靠传统的攻击特征匹配效果有限。API 上更常见的风险是授权与逻辑类问题：越权访问他人数据、遍历 ID 批量拉取、导出接口被滥用。因此防护要放在参数校验、频率控制与调用序列分析上，并与网关鉴权、业务风控配合，而不是指望 WAF 一条规则解决。
基本信息
| 适用平台 | WAF 的 API 防护能力、API 网关与业务风控系统配合 |
|---|---|
| 防护点 | 参数类型与长度校验、接口频率控制、异常调用序列检测 |
| 重点风险 | 越权访问、ID 遍历、批量拉取、鉴权失败集中出现 |
| 配合关系 | 网关负责鉴权，WAF 负责异常模式检测，业务侧负责授权逻辑 |
典型使用场景
- 对外开放 API：为合作方提供接口时，需要限速与调用配额
- 移动端接口：客户端可被逆向，参数与调用频率需要服务端强校验
- 数据导出接口：最容易被滥用批量拉取，必须严格限速并审计
- 越权排查：日志中出现大量针对他人资源的访问尝试
- 大促与活动：接口调用量突增时，限速与降级策略要提前配置
配置要点
配置要点
1. 对 ID 类参数做枚举检测：识别短时间内的连续或递增访问
2. 对导出、列表类接口做严格限速，配额按业务方分配
3. 鉴权失败率异常升高时触发告警，可能是撞库或探测
4. 记录完整请求上下文（来源、账号、参数摘要）便于溯源
5. 限速策略区分内部调用与外部调用，避免互相干扰风险与检测手段
| 风险 | 表现 | 检测手段 |
|---|---|---|
| 越权访问 | 访问他人资源被业务放行 | 结合账号与资源关系的业务校验 |
| ID 遍历 | 连续或递增的 ID 请求 | 枚举检测与频率阈值 |
| 批量拉取 | 短时间大量列表或导出请求 | 按账号与来源限速 |
| 撞库尝试 | 登录接口失败率显著升高 | 失败率与来源聚集度告警 |
越权类漏洞的根因在业务授权逻辑，WAF 只能发现异常调用模式，不能代替服务端做权限判断。