如何为您的网站设计安全的Web API访问？

当我们允许用户访问Web API时，我们需要确保每个API请求都经过验证。这意味着我们需要确认用户确实是他们所声称的身份。

本文将讨论两种常见的API访问安全方式：

基于令牌的身份验证
HMAC（基于哈希的消息身份验证代码）身份验证

下图显示了每种方法的工作原理。

基于令牌的身份验证

用户在客户端输入密码，客户端将密码发送到身份验证服务器。
服务器验证密码并创建一个具有过期时间的令牌。
客户端现在可以在HTTP头部中使用此令牌来向服务器发送请求。
令牌在过期之前保持有效，允许访问服务器资源。

基于HMAC的身份验证

服务器生成两个密钥：一个公钥（公共应用程序ID）和一个私钥（API密钥）。
在客户端，使用这些密钥和图中列出的某些属性创建一个签名（HMAC）。
客户端将带有此HMAC签名的HTTP头部发送到服务器。
服务器接收请求，提取属性，并使用存储的API密钥生成自己的签名（HMAC B）。
服务器比较HMAC A（来自客户端）和HMAC B（来自服务器）。如果它们匹配，服务器将响应请求。

问题： HMAC如何确保数据完整性？为什么我们在HMAC中包含请求时间戳？

答案： HMAC通过创建基于请求数据和密钥的唯一签名来确保数据完整性，因此，如果更改任何数据，签名将不匹配。包含请求时间戳有助于防止重放攻击（旧请求被重用），因为签名仅在特定时间内有效。

请注意，中文版本是由 AI 辅助翻译的，因此可能存在细微错误。

作者

Ai Base Network (ABN), ABN ASIA由具有深厚学术背景的人员创立，他们在美国、荷兰、匈牙利、日本、韩国、新加坡和越南等国家有工作经验。ABN Asia是学术界和技术相遇的地方。凭借我们领先的解决方案和优秀的软件开发服务，我们帮助企业提升水平，走向全球舞台。我们的承诺：更快。更好。更可靠。在大多数情况下：也更便宜。

无论您需要IT服务、数字咨询、现成软件解决方案，还是想向我们发送招标要求（RFPs），都请随时与我们联系。您可以通过[email protected]与我们联系。我们随时准备为您提供所有技术需求的帮助。