498科技訊：自2019年1月，中央網(wǎng)信辦、工信部、公安部、市場監(jiān)督管理總局四部門聯(lián)合開展“App違法違規(guī)收集使用個人信息專項治理”以來，隨著《APP違法違規(guī)收集使用個人信息行為認定方法》《個人信息安全規(guī)范》等標準規(guī)范相繼出臺完善，App運營者普遍關(guān)注和重視App個人信息保護的氛圍基本形成，無隱私政策、強制索權(quán)、無注銷渠道等問題明顯改善。

     想了解api接口、支付接口相關(guān)問題的朋友，歡迎撥打咨詢熱線：400 0591 498 或者點擊留言，498科技免費為大家提供咨詢和解答。

       關(guān)注App安全，一方面要關(guān)注App收集使用個人信息流程上的合規(guī)，切實保障用戶權(quán)利，例如App是否有隱私政策，是否在申請權(quán)限時進行目的告知，收集個人敏感信息時是否明示告知，是否征得用戶同意后收集個人信息，是否可以響應(yīng)用戶的更正、刪除等權(quán)利等等;另一方面，也要關(guān)注App個人信息保護的措施有無落實到位，而要做到這一點，需要App運營者不斷“修煉內(nèi)功”，其實并非易事。

　　就在近期，F(xiàn)acebook(臉書)再次被曝出由于其API(應(yīng)用程序接口)可能存在安全漏洞，導致Facebook一個存有2億余條記錄的數(shù)據(jù)庫被公開，有兩周時間它可以被任何人訪問，其中每條記錄包括Facebook用戶的ID、姓名以及電話號碼等個人信息。無獨有偶，新浪微博也被曝出有5.38億條微博用戶信息在暗網(wǎng)出售，其中1.72億有賬號基本信息，包括用戶ID、性別、地理位置等。

       對此，微博方面回應(yīng)稱此次的數(shù)據(jù)泄漏源于2019年被黑灰產(chǎn)利用通訊錄上傳接口進行暴力匹配，通過通訊錄、手機號反查微博好友昵稱的方式，獲取大量賬號、昵稱、賬號與手機信息的綁定關(guān)系等。此外，檢測評估也發(fā)現(xiàn)，個別人臉識別、疫情防控等相關(guān)的App、小程序等也因為API接口安全措施不足，大量個人信息存在被非授權(quán)遍歷、進而導致數(shù)據(jù)被泄露的風險。

　　一言以概之，API接口安全一旦出現(xiàn)問題，可能導致的不是一兩個、幾百、幾千個人信息的泄露，而是涉及百萬、千萬、甚至億級個人信息的數(shù)量，這也是黑灰產(chǎn)盜取大量個人信息的常見渠道。而實際情況是，承載數(shù)據(jù)交互的API接口往往由于其“不可見”的特點，其安全問題易被App運營者忽略。API接口基本原理如何，為何重要?存在哪些安全風險?應(yīng)采取哪些安全措施?本文將逐一詳解。

　　API的基本原理和應(yīng)用場景

　　App已經(jīng)被大家所熟知，是移動互聯(lián)網(wǎng)應(yīng)用程序(Application)的簡稱，也是應(yīng)用層軟件向手機終端的延伸，是企業(yè)業(yè)務(wù)場景服務(wù)線上客戶(To C)的主要渠道。而API則是應(yīng)用程序接口(Application Programming Interface)的簡稱，其含義比較寬泛，泛指一組定義、程序及協(xié)議的集合。本文主要探討將前端App界面與后端服務(wù)器相連接的一類API，其主要以網(wǎng)絡(luò)通信方式進行交互，此類API通過預(yù)先設(shè)定的參數(shù)維持前端界面與后臺服務(wù)器之間的數(shù)據(jù)互通，是當下應(yīng)用最為廣泛的技術(shù)解決方案。

　　該類API的主要由通信協(xié)議、域名、路徑、請求方式、傳入?yún)?shù)、響應(yīng)參數(shù)和接口文檔等部分組成。常見的API的請求方式通常有GET、POST、PUT和DELETE。而API根據(jù)使用的協(xié)議和架構(gòu)的不同也可以分為SOAP(簡單對象訪問協(xié)議)API和RESTful(表述性狀態(tài)傳遞)API，其中SOAP API是Web服務(wù)安全性內(nèi)置協(xié)議，采用保密和身份驗證規(guī)則集的方式，支持結(jié)構(gòu)化信息標準促進組織(OASIS)和萬維網(wǎng)聯(lián)盟(W3C)制定的標準，它們結(jié)合使用XML加密、XML簽名和SAML令牌等方式來驗證身份和授權(quán)，而REST API支持HTTP以及HTTPS兩種傳輸協(xié)議，不需要存儲或重新打包數(shù)據(jù)，因此傳輸速度比SOAP API協(xié)議要快得多。簡言之，SOAP API更安全，適合處理敏感數(shù)據(jù)的機構(gòu)，但同時也更為笨重;而RESTful API更為輕便，但是安全性能有待加強。

　　API的出現(xiàn)，使得使用不同編程語言、不同操作系統(tǒng)、不同版本的App與后臺服務(wù)器的交互，以及App之間的交互更加順暢。API不僅為App的開發(fā)提供了便捷，它也是SDK(Software Development Kit，軟件開發(fā)工具包)與其后臺服務(wù)端實現(xiàn)交互功能必不可少的組件。

　　除App和SDK依賴API外，API自身還能被單獨包裝成一種服務(wù)模式。隨著移動互聯(lián)智能化技術(shù)的推進，越來越多的企業(yè)將服務(wù)封裝成數(shù)據(jù)接口進行開放，供第三方開發(fā)者使用，這類API接口通常被稱為OpenAPI。OpenAPI由于具有標準化、通用性等優(yōu)勢，不斷被運用到“快捷”服務(wù)場景，比如開放API銀行，互聯(lián)網(wǎng)開放醫(yī)院等信息化項目中。

　　可見，API雖然不為大眾所知，但在技術(shù)、開發(fā)人員眼里則是“必需品”，可以說幾乎沒有人可以繞過其構(gòu)建信息系統(tǒng)和App。可以預(yù)見，API在今后將繼續(xù)扮演連接用戶前臺與后臺服務(wù)的關(guān)鍵橋梁作用，其類型、性能等還將進一步擴展，應(yīng)用范圍還將進一步擴大。