API安全防护的完整策略：从OAuth 2.0到速率限制

API安全防护的完整策略：从OAuth 2.0到速率限制

2026年超过80%的互联网流量通过API传输，API攻击面已经超过传统Web应用。API安全的第一道防线是认证与授权：OAuth 2.0 + OIDC处理用户身份，mTLS或API Key处理服务间通信。常见错误——在Authorization Code Flow中把client_secret放在前端代码里，这让PKCE成为强制要求而非可选项。

第二道防线是输入验证与速率限制。GraphQL API的最大风险是递归查询——一个深度为10的嵌套查询可能导致数据库执行数以万计的JOIN。必须设置查询深度限制、复杂度评分和超时保护。REST API则面临参数遍历攻击——通过递增ID枚举所有用户数据。解决方案：UUID代替自增ID + 对象级授权（确保用户只能访问自己的资源）。最后一个被严重忽视的漏洞：BOLA（Broken Object Level Authorization）在OWASP API Security Top 10中排名第一，检查/api/users/123/orders是否验证了123确实是当前登录用户的ID。