章節總結

在這個關於 API 安全性 的關鍵章節中，我們探討了保護 API 免受現代威脅所需的機制和最佳實踐。隨著 API 成為軟體的骨幹，它們也成為攻擊者的主要目標。

關鍵概念回顧

CIA 三角：安全性是關於平衡 機密性 (Confidentiality)、完整性 (Integrity) 和 可用性 (Availability)。

AuthN vs AuthZ：

身份驗證：驗證身份（你是誰？）。

授權：驗證權限（你能做什麼？）。

協議：

OAuth 2.0：授權的行業標準 (Access Tokens)。

OpenID Connect (OIDC)：身份的標準 (ID Tokens)。

JWT tokens：用於攜帶身份和聲明 (Claims) 的無狀態、可攜式 Token。對現代微服務至關重要，但需要小心處理（儲存、過期）。

OWASP Top 10：最常見的漏洞，包括破碎的物件層級授權 (BOLA) 和破碎的身份驗證。

加密：HTTPS/TLS 對於保護傳輸中的資料是不可協商的。

是否在所有端點上強制執行 HTTPS？

我們是否使用標準的身份驗證函式庫（而不是自己編寫加密演算法）？

最小權限原則是否應用於 Scopes？

我們是否根據 Schema 驗證了所有輸入？

我們是否只返回必要的資料欄位？

是否啟用了速率限制以防止 DoS？

保護 API 是一個持續的過程，而不是一次性的設定。保持警惕！

下一章：現在我們已經保護了它，我們用什麼工具來建構和測試它？讓我們在 API 工具：概覽中打開工具箱。