API安全是系统安全的核心防线。开放到公网的API接口面临各种安全威胁：SQL注入、XSS攻击、CSRF攻击、重放攻击、暴力破解等。本文从多个层面构建API安全防护体系，每个措施都来自真实安全事件的经验总结。
传输层安全
所有API必须强制使用HTTPS，禁用HTTP。HTTPS加密传输防止中间人攻击和数据窃听。SSL/TLS证书使用正规CA签发，配置合理的加密套件，禁用不安全的协议版本如SSLv3和TLSv1.0。HSTS响应头强制浏览器使用HTTPS访问，防止SSL剥离攻击。对于敏感API，证书固定（Certificate Pinning）可以进一步防止证书伪造。传输层安全是所有安全措施的基础。
认证与授权
认证确认你是谁，授权确认你能做什么。API认证方案根据场景选择JWT、OAuth2.0或API Key。授权采用最小权限原则，每个token只能访问必需的资源。RBAC（基于角色的访问控制）将权限分配给角色，用户关联角色而不是直接关联权限。ABAC（基于属性的访问控制）更灵活，根据用户、资源和环境的属性实时评估权限。授权失败返回403而非401，避免暴露资源是否存在。
输入校验与防注入
所有用户输入都是不可信的。参数校验在服务端必须做，不能依赖前端校验。数据类型、长度、格式、取值范围都要校验。防止SQL注入使用参数化查询，禁止拼接SQL字符串。防止XSS攻击对输出进行HTML编码。防止命令注入对系统命令参数进行校验。文件上传限制文件类型和大小，扫描病毒。使用白名单校验比黑名单更安全。
安全审计与日志
所有API访问都需要记录安全日志。日志内容包括：请求来源IP、请求路径、认证用户、请求参数（脱敏）、响应状态码和处理时间。敏感信息如密码、Token、身份证号等不能记录明文。安全日志定期分析，发现异常访问模式及时告警。异常模式包括：短时间内大量401错误、频繁访问不存在的接口、非工作时间大量请求等。日志存储至少保留180天用于安全追溯。