對大多數(shù)IT技術(shù)人員來說，API這個詞并不陌生。而對架構(gòu)師、研發(fā)工程師、安全工程師來說，API則更是日常工作中接觸并熟知的內(nèi)容。從2008年國內(nèi)API經(jīng)濟活躍伊始，各個互聯(lián)網(wǎng)企業(yè)紛紛構(gòu)建自己的API開放平臺，2012年API模式日益成熟，大量API安全問題在2013年之后也逐漸暴露出來。如今，仍可以通過漏洞平臺、安全大會議題、企業(yè)安全應(yīng)急響應(yīng)中心看到這些痕跡。雖然API安全問題或安全事件時有發(fā)生，但企業(yè)對API安全的真正重視程度，仍比技術(shù)應(yīng)用落后很多。這其中固然有企業(yè)的原因，但技術(shù)人員自身API安全知識的缺乏也是其中的重要因素之一，再加上已出版的關(guān)于API安全的圖書尤其少，于是作者決定寫一本API安全方面的專業(yè)書籍。
1．本書的主要內(nèi)容和特色
本書主要是為IT技術(shù)人員提供API安全知識和技術(shù)實戰(zhàn)方面的案例講解，采用理論和實踐相結(jié)合的模式，由基礎(chǔ)篇、設(shè)計篇、治理篇三個部分組成，為讀者講述API安全的基本概況、API安全漏洞、API安全設(shè)計以及API生命周期安全管理等內(nèi)容。
基礎(chǔ)篇包括第1～5章。
第1章 API的前世今生 結(jié)合互聯(lián)網(wǎng)技術(shù)的發(fā)展，介紹API技術(shù)的發(fā)展。重點圍繞當(dāng)下不同的API技術(shù)，如RESTful API技術(shù)、GraphQL API技術(shù)、SOAP API技術(shù)等，來介紹其技術(shù)特點。最后，簡要講述了頭部互聯(lián)網(wǎng)公司API的使用現(xiàn)狀。
第2章 API安全的演變 以API安全的含義為切入點，講述API安全關(guān)注的重點內(nèi)容、API漏洞類型以及API安全的未來趨勢。
第3章 典型API安全漏洞剖析 從最近三年的安全漏洞案例中，精心挑選出5個有代表性的案例，分別從漏洞基本信息、漏洞利用過程、漏洞啟示三個方面，為讀者講述典型的API安全漏洞原理。
第4章 API安全工具集 結(jié)合API生命周期，從需求、設(shè)計、編碼、測試、運維等角度，介紹與API安全相關(guān)的工具，并對部分工具做了重點說明。
第5章 API滲透測試 參考業(yè)界標(biāo)準(zhǔn)滲透基本流程，介紹了API滲透測試過程中的注意事項和關(guān)鍵點，并分析了RESTful API、GraphQL API、SOAP API等API滲透測試技術(shù)的特點。最后，通過案例講述了API安全工具的典型用法。
設(shè)計篇包括第6～9章。
第6章 API安全設(shè)計基礎(chǔ) 介紹了API安全設(shè)計技術(shù)棧，并結(jié)合5A原則和縱深防御原則，對不同的API安全關(guān)鍵技術(shù)做了簡要講述，幫助讀者初步構(gòu)建API安全設(shè)計的整體概念。最后，以API安全中南北向、東西向場景為例，分別做了導(dǎo)入性的案例分析。
第7章 API身份認(rèn)證 從身份認(rèn)證的概念入手，主要講述了HTTP Basic基本認(rèn)證、AK/SK認(rèn)證、Token認(rèn)證等API身份認(rèn)證技術(shù)，并重點介紹了OpenID Connect身份認(rèn)證協(xié)議及常見安全漏洞。最后，結(jié)合微軟Azure云、支付寶第三方應(yīng)用公開文檔，分析了API身份認(rèn)證技術(shù)的安全設(shè)計細(xì)節(jié)。
第8章 API授權(quán)與訪問控制 結(jié)合授權(quán)與訪問控制的基本概念，重點講述了OAuth 2.0協(xié)議、RBAC模型的相關(guān)流程與設(shè)計，分析了常見授權(quán)與訪問控制的安全漏洞成因。最后，結(jié)合百度開放云平臺、微信公眾平臺等第三方平臺公開文檔，分析了API授權(quán)與訪問控制技術(shù)的安全設(shè)計細(xì)節(jié)。
第9章 API消息保護(hù) 主要從傳輸層、應(yīng)用層介紹了消息保護(hù)相關(guān)技術(shù)及常見漏洞，如TLS、JWT、JOSE、Paseto技術(shù)等。最后，結(jié)合百度智能小程序OpenCard、微信支付的官方文檔，對消息保護(hù)過程進(jìn)行了案例分析。
治理篇包括第10～13章。
第10章 API安全與SDL 結(jié)合微軟SDL模型，講述了在API生命周期安全管理中涉及的安全活動，并挑選出了關(guān)鍵的安全活動從活動實踐、工具依賴兩個方面展開敘述，為下一章做知識導(dǎo)入。
第11章 API安全與DevSecOps 從DevSecOps視角，重點介紹了API安全在工具鏈和自動化管理上的實踐，比如設(shè)置關(guān)鍵卡點、引入API網(wǎng)關(guān)、接入WAF等。
第12章 API安全與API網(wǎng)關(guān) 從開源API安全產(chǎn)品的角度，分析API網(wǎng)關(guān)的基本產(chǎn)品組成部分以及上下文關(guān)系，并對Kong API網(wǎng)關(guān)、WSO2 API管理平臺做了重點介紹。最后，結(jié)合花椒直播Kong應(yīng)用實踐做了案例分析。
第13章 API安全與數(shù)據(jù)隱私 從隱私保護(hù)的視角，結(jié)合數(shù)據(jù)安全的生命周期，介紹了API安全中如何保護(hù)數(shù)據(jù)隱私，并結(jié)合Microsoft API 使用條款、京東商家開放平臺API敏感信息處理兩個案例，分析了API安全中的數(shù)據(jù)隱私實踐。
2．本書面向的讀者
本書適用于網(wǎng)絡(luò)安全人員、軟件開發(fā)人員、系統(tǒng)架構(gòu)師以及高等院校相關(guān)專業(yè)師生閱讀學(xué)習(xí)。
? 網(wǎng)絡(luò)安全人員：主要是從事Web滲透測試、攻防對抗、SDL運營等相關(guān)人員，幫助此類人員快速建立API安全相關(guān)知識脈絡(luò)，構(gòu)建API基礎(chǔ)安全知識框架。
? 軟件開發(fā)人員：主要是從事API技術(shù)開發(fā)相關(guān)人員，幫助此類人員厘清API相關(guān)技術(shù)棧和典型安全漏洞，能運用工具有效提高開發(fā)質(zhì)量。
? 系統(tǒng)架構(gòu)師：主要是致力于提高系統(tǒng)安全性的架構(gòu)師，能幫助架構(gòu)師有效地厘清API安全技術(shù)，并通過案例分析，指導(dǎo)API安全設(shè)計。
? 高等院校相關(guān)專業(yè)師生：了解API安全知識，尤其是與API安全技術(shù)相關(guān)的漏洞、工具、協(xié)議、流程等。
3．致謝
借本書的出版，感謝我在網(wǎng)絡(luò)安全行業(yè)中工作過的企業(yè)，是它們給了我學(xué)習(xí)和鍛煉的機會，尤其是亞信安全的鄭海剛和孫勇，一位是帶領(lǐng)我進(jìn)入網(wǎng)絡(luò)安全行業(yè)的引路人，另一位則是