以下是当你在设计, 测试以及发布你的 API 的时候所需要核对的重要安全措施.

身份认证

访问

使用与操作相符的 HTTP 操作函数 , GET (读取), POST (创建), PUT (替换/更新) and DELETE (删除记录).
在请求头中的 content-type 字段使用内容验证来只允许支持的格式 (比如 application/xml , application/json ...) 并在不满足条件的时候返回 406 Not Acceptable .
验证 content-type 的发布数据和你收到的一样 (如 application/x-www-form-urlencoded , multipart/form-data ,application/json 等等... ).
验证用户输入来避免一些普通的易受攻击缺陷 (比如 XSS, SQL-注入 , 远程代码执行 等等...).
不要在 URL 中使用任何敏感的数据在 ( credentials , Passwords, security tokens, or API keys), 而是使用标准的认证请求头.

发送 X-Content-Type-Options: nosniff 头.
发送 X-Frame-Options: deny 头.
发送 Content-Security-Policy: default-src 'none' 头.
在响应中强制使用 content-type , 如果你的类型是 application/json 那么你的 content-type 就是 application/json.
不要返回敏感的数据, 如 credentials , Passwords, security tokens.
在操作结束时返回恰当的状态码. (比如 200 OK , 400 Bad Request , 401 Unauthorized, 405 Method Not Allowed 等等...).

Feel free to contribute , fork -> edit -> submit pull request. For any questions drop us an email at team@shieldfy.io.