為什么 API 使用短期 API 密鑰？

Question

我用過的大多數 API 都有一個端點，您可以在端點輸入密碼並取回 API 密鑰以用於 API 的其余部分，持續一個小時左右。 為什么認為這比直接使用數據密碼更安全？

Answer 1

使用短壽命密鑰的主要原因是在密鑰泄漏的情況下最大限度地減少損壞。

有人可能會問——如果密鑰泄露了，我們為什么不直接停用它呢？ 通常這是關於在 api 層中驗證密鑰的方式。

驗證密鑰的方法主要有兩種：a) 請求接收者可以要求中央機構驗證密鑰或 b) 請求接收者可以在本地驗證密鑰。

第一種方法（中央權威）很好——可以在那里將一個鍵標記為“不活動”； 但該方法在重負載下表現不佳——因為每個 api 請求都會導致對授權系統的調用。

第二種方法，使用本地檢查，更具可擴展性。 它（通常）通過確保 api 密鑰是加密的數據結構來實現，並且請求接收者知道如何在本地解密它並運行所有檢查（如過期）。

雖然第二種方法擴展性很好，但沒有可靠的方法來召回有問題的 api 密鑰。 因此，最小化密鑰的生存時間也可以最小化影響。