무단 요청으로부터 API를 보호하는 방법

API는 다른 시스템을 연결하는 최신 애플리케이션의 핵심입니다. 그러나 그들은 또한 무단 액세스 및 악의적 인 착취에 취약합니다. API를 보호하려면 CORS 인증, 강력한 인증 및 실시간 모니터링을 포함한 여러 보안 정책이 필요합니다. 이 기사는 신뢰할 수있는 클라이언트 만 API에 액세스 할 수 있도록 몇 가지 방법을 설명합니다.

1. CORS를 올바르게 구성하십시오

CORS (Cross-Domain Resource Sharing)는 API와 상호 작용할 수있는 소스를 제어하는 ​​주요 보안 메커니즘입니다. CORS의 올바른 구성은 효과적으로 무단 액세스를 방지 할 수 있습니다.

ASP.NET 코어 예 :

 <code class="csharp">builder.Services.AddCors(options => { options.AddPolicy("RestrictedOrigins", policy => { policy.WithOrigins("https://mywebsite.com", "https://trustedpartner.com") // 允许的来源.AllowAnyHeader() .AllowAnyMethod(); }); }); // 应用CORS策略app.UseCors("RestrictedOrigins");</code>

중요한 규칙 :

• AllowAnyOrigin 피하십시오 : 모든 출처를 허용하면 API 위험이 크게 증가합니다.
• IsOriginAllowed(_ => true) 사용하지 마십시오 : 이것은 소스 확인을 완전히 우회합니다.
• 메소드 및 헤더 제한 : AllowAnyMethod 제한하고 허용 범위를 필요한 범위로 AllowAnyHeader .

2. 신원 확인 및 승인을 구현합니다

인증을 통해 승인 된 사용자 또는 시스템 만 API 엔드 포인트에 액세스 할 수 있습니다. JWT (JSON Web Token)는 일반적으로 사용되는 방법입니다.

JWT 구현 단계 :

1. 클라이언트는 요청 헤더에서 JWT를 보냅니다.

 <code>Authorization: Bearer <your-jwt-token></your-jwt-token></code>

2. 서버 측 확인 토큰 :

 <code class="csharp">app.UseAuthentication(); app.UseAuthorization();</code>

ASP.NET 코어 구성 예 :

 <code class="csharp">builder.Services.AddAuthentication("Bearer") .AddJwtBearer(options => { options.TokenValidationParameters = new TokenValidationParameters { ValidateIssuer = true, ValidateAudience = true, ValidateLifetime = true, ValidateIssuerSigningKey = true, ValidIssuer = "https://mywebsite.com", ValidAudience = "https://mywebsite.com", IssuerSigningKey = new SymmetricSecurityKey(Encoding.UTF8.GetBytes("secret-key")) }; });</code>

3. 원점 헤더를 명시 적으로 확인하십시오

CORS가 구성된 경우에도 서버 측 미들웨어에서 Origin 헤더를 수동으로 확인하여 추가 보안 계층을 추가 할 수 있습니다.

예:

 <code class="csharp">app.Use(async (context, next) => { string origin = context.Request.Headers["Origin"].ToString(); string[] allowedOrigins = { "https://mywebsite.com", "https://trustedpartner.com" }; if (!string.IsNullOrEmpty(origin) && !allowedOrigins.Contains(origin)) { context.Response.StatusCode = StatusCodes.Status403Forbidden; await context.Response.WriteAsync("Origin not allowed."); return; } await next(); });</code>

4. 의심스러운 IP를 차단하십시오

공격 표면을 줄이기 위해 알려진 악성 IP 주소의 요청을 필터링하고 차단합니다.

미들웨어 예 :

 <code class="csharp">app.Use(async (context, next) => { string clientIp = context.Connection.RemoteIpAddress?.ToString(); string[] blockedIPs = { "192.168.1.100", "10.0.0.50" }; if (blockedIPs.Contains(clientIp)) { context.Response.StatusCode = StatusCodes.Status403Forbidden; await context.Response.WriteAsync("Blocked IP."); return; } await next(); });</code>

5. 구현 속도 제한

학대 및 무차별 적 공격을 방지하기위한 고객 요청 수를 제한하십시오.

ASP.NET 코어 예 :

설치 패키지 :

 <code class="bash">dotnet add package AspNetCoreRateLimit</code>

구성 속도 제한 :

 <code class="csharp">builder.Services.AddMemoryCache(); builder.Services.Configure<ipratelimitoptions>(options => { options.GeneralRules = new List<ratelimitrule> { new RateLimitRule { Endpoint = "*", Limit = 100, // 请求限制Period = "1m" // 每分钟} }; }); builder.Services.AddInMemoryRateLimiting(); app.UseIpRateLimiting();</ratelimitrule></ipratelimitoptions></code>

6. 모든 연결은 https를 사용합니다

HTTPS에게 클라이언트와 API 간의 안전한 통신을 보장합니다.

ASP.NET Core에서 HTTPS 구성 :

 <code class="csharp">webBuilder.UseKestrel() .UseHttps();</code>

HTTP 트래픽을 HTTPS로 리디렉션합니다.

 <code class="csharp">app.UseHttpsRedirection();</code>

7. 요청을 모니터링하고 기록합니다

로깅 구현, 알 수없는 소스의 많은 요청과 같은 예외 패턴을 감지하십시오.

예:

 <code class="csharp">app.Use(async (context, next) => { string origin = context.Request.Headers["Origin"].ToString(); Console.WriteLine($"Request from origin: {origin}"); await next(); });</code>

포괄적 인 모니터링을 위해 애플리케이션 통찰력, Serilog 또는 Elastic Stack과 같은 도구를 사용하십시오.

8. 자세한 오류 응답을 피하십시오

오류 메시지에 민감한 정보를 노출시키지 않으면 공격자에게 도움이됩니다.

예:

 <code class="csharp">app.UseExceptionHandler("/error"); // 将错误重定向到安全页面</code>

결론적으로

무단 요청으로부터 API를 보호하려면 여러 계층의 방어 계층이 필요합니다. CORS를 올바르게 구성하고, 소스 및 헤더를 명시 적으로 확인하고, 인증 및 속도 제한을 구현하고, HTTPS 사용 및 트래픽을 모니터링합니다. 이러한 모범 사례에 따라 무단 액세스의 위험을 크게 줄일 수있어 신뢰할 수있는 고객 만 API에 액세스 할 수 있습니다.

위 내용은 무단 요청으로부터 API를 보호하는 방법의 상세 내용입니다. 자세한 내용은 PHP 중국어 웹사이트의 기타 관련 기사를 참조하세요!