| 防护点 | 参数类型与长度、接口频率、异常调用序列 |
|---|---|
| 重点风险 | 越权访问、ID 遍历、批量拉取 |
| 配合 | API 网关鉴权 + WAF 检测 + 业务风控 |
配置要点
配置要点
1. 对 ID 类参数做枚举检测（高频连续访问）
2. 对导出类接口做严格限速
3. 鉴权失败率异常触发告警
4. 记录完整请求上下文便于溯源越权类漏洞根因在业务授权逻辑，WAF 只能辅助发现异常模式。
API 安全防护
对 API 做参数校验、频率控制与鉴权检查辅助，防护重点包括越权、遍历与数据过度暴露。
易错点
- 把 API 防护当接口鉴权替代品，越权问题依然存在
- 未区分内部调用与外部调用，限速策略互相干扰
数据来源与参考
- OWASP API Security Top 10
- OWASP 自动化威胁防护