API 攻击面
为什么 API 会成为攻击目标
API 攻击面 是 CoddyKit 上的免费 Cyber Security Academy 课时。 这是第 1 节课，共 4 节。 你可以在下方免费阅读本课时的完整内容 — 然后在浏览器中使用内置代码编辑器和全天候 AI 导师进行实践。 这是 Cyber Security Academy 学习路径的一部分，你的进度在网页和 CoddyKit 应用中同步。 Cyber Security Academy 课程共包含 4 节课。
什么是应用程序接口
应用程序接口可以让程序通过网络相互通信。
网站和移动应用使用应用程序接口发送和接收数据，通常以 JSON 格式通过超文本传输协议传输。
什么是攻击面
攻击面是攻击者可能尝试入侵的所有途径的总和。
对于应用程序接口而言，每个端点、参数和请求头都是攻击面的一部分。
为什么应用程序接口会成为目标
应用程序接口直接位于有价值的数据和核心业务逻辑之前。
它们面向机器进行设计，会暴露结构化且可预测的入口，这正是攻击者喜欢探测的地方。
众多端点
现代应用可能会暴露数百个端点。
GET /api/users/123
POST /api/orders
DELETE /api/posts/45每个端点都可能成为攻击者尝试入侵的一扇门。
隐藏和被遗忘的应用程序接口
旧版本和未记录文档的端点往往会继续在线运行。
这些影子应用程序接口可能缺少最新的安全修复，因此容易成为被忽视的目标。
可预测的标识符
应用程序接口经常使用连续的 ID。
GET /api/invoices/1001
GET /api/invoices/1002攻击者只需递增数字，就可以尝试访问不属于自己的数据。
暴露的文档
应用程序接口文档（例如公开的OpenAPI或 Swagger 文件）对开发人员很有帮助。
但如果公开提供，这些文档就会把每个端点和参数的完整地图交给攻击者。
返回过多数据
有些应用程序接口会返回完整记录，再由客户端进行筛选。
这种过度暴露数据可能泄露电子邮件地址或令牌等用户本不应看到的字段。
薄弱的身份验证
如果端点没有正确验证调用者的身份，任何人都可以使用它。
缺失或失效的身份验证是应用程序接口最常见、危害最大的弱点之一。
OWASP 应用程序接口十大风险
OWASP 发布了一个最关键的应用程序接口风险列表，称为应用程序接口十大风险。
它指导团队确定优先防御的对象，从失效的授权到安全配置错误都包括在内。
梳理您的攻击面
您无法保护自己不了解的事物。
第一步防御措施是建立资产清单：列出每个应用程序接口、版本和端点，确保没有遗漏。
快速检查
为什么被遗忘或没有文档的端点尤其危险？
回顾
应用程序接口的攻击面涵盖每个端点、参数和版本。
应用程序接口之所以成为目标，是因为它们通过可预测的入口暴露有价值的数据。请从完整的资产清单开始防御，并遵循 OWASP 应用程序接口十大风险。
常见问题解答
「API 攻击面」课时是免费的吗？
是的 — 「API 攻击面」的完整文本可在网页上免费阅读。要进行交互式练习（内置代码编辑器和全天候 AI 导师）并解锁 Cyber Security Academy 课程的其余内容，请升级到 CoddyKit PRO。 Cyber Security Academy 课程共包含 4 节课。
「API 攻击面」这节课中我会学到什么？
为什么 API 会成为攻击目标 你通过在浏览器中直接运行的动手代码来练习 Cyber Security Academy，全天候 AI 导师会在你学习这节课的过程中回答你的问题。
学习 Cyber Security Academy 需要有经验吗？
无需任何先前经验。CoddyKit 上的 Cyber Security Academy 课程适合初学者到高级学习者，你可以从这里开始或从头开始，按照自己的节奏学习。 这是第 1 节课，共 4 节。
「API 攻击面」课时需要多长时间？
大多数 CoddyKit 课程大约需要 5–10 分钟。每节课都很精短且互动，所以你能稳步进步，并在网页和应用中从离开的地方继续。
我能在这节 Cyber Security Academy 课中编写并运行代码吗？
能。每节 Cyber Security Academy 课都包含内置代码编辑器，你可以在浏览器中直接编写并运行真实代码，并获得即时 AI 反馈 — 无需本地设置。