API 安全：如何通過域限制訪問？

Question

我公開了一個簡單的 API 並且需要確保只有授權用戶才能訪問它。 我將提供一個 API 密鑰進行身份驗證。 但是，我還想將 API 密鑰與某個域相關聯（意思是，它應該僅在從授權域中使用時才有效）。

如果從授權域訪問 API 端，如何檢查它？ HTTP_REFERER 顯然不可靠。 建議？

Answer 1

你要暴露什么樣的 API？ 有許多不同類型的 API - 我假設您沒有公開操作系統的 API ...

Assuming you want to expose some web application's API , you may take a look at OAuth , which is based on callback URLs - you can just block certain domains from being called through callback URL.

閱讀更多關於OAuth的信息。

Answer 2

HTTP+SSL 是一個復雜的協議集，它同時支持服務器和客戶端的證書，可能可以在這種情況下使用，但不知何故我覺得這有點矯枉過正。

Answer 3

你想要源 IP 地址

REMOTE_ADDR - 或 - HTTP_X_FORWARDED_FOR