如何保护一个 REST API（认证、授权、传输）？

Question

IT Interview Practice · Accepted Answer

保护一个 REST API 意味着在每个请求上回答三个问题：**你是谁**（authentication，认证）、**你被允许做什么**（authorization，授权）、以及**通道是否私密**（transport，传输）。因为 REST 是**无状态的（stateless）**，凭证必须随每个请求传递，而不是驻留在一个 server session 中。

## 传输：始终 HTTPS

以下所有内容都假定有 **TLS/HTTPS**。没有它，token 和 API key 就以明文传输，可能被嗅探。这一点没有商量余地——一个通过 HTTP 传的 bearer token 就是一个已泄露的 token。

## 认证选项

**API key** —— header 中的一个静态密钥。简单；适合 server-to-server 以及标识一个*应用*，而非用户。单独使用较弱（无过期、无 scope），除非搭配更多手段。
```http
GET /data HTTP/1.1
Authorization: Bearer sk_live_a1b2c3...
```

**OAuth 2.0** —— **委托（delegated）**访问的标准（“让 App X 读我的数据，而不用给它我的密码”）。应用通过一个 flow（例如 Authorization Code）获取一个**access token**，并作为 bearer token 发送。这就是“Sign in with Google”和第三方集成的工作方式。

**JWT（JSON Web Token）** —— 一种常见的 token *格式*：一个已签名、自包含的 token，携带若干 claim（user id、role、过期时间）。server 验证签名——无需查数据库，这契合无状态的 REST。
```text
header.payload.signature   (base64url)
payload: { "sub": "42", "scope": "orders:read", "exp": 1737800000 }
```

## 授权：scope 与 role

认证证明身份；**授权**决定访问权。token 携带 **scope**（`orders:read`、`orders:write`）或 role；server 按每个 endpoint 检查它们，并在不足时返回 `403 Forbidden`（相对于缺失/无效认证的 `401`）。

```text
No/invalid token         → 401 Unauthorized
Valid token, no scope    → 403 Forbidden
```

## 其他要点

```text
✓ Short-lived access tokens + refresh tokens (limit blast radius if leaked)
✓ Rate limiting (429) to blunt brute-force and abuse
✓ Validate/sanitize all input; never trust the client
✓ Principle of least privilege on scopes
```

## 为什么这很重要

安全是一个小错误变成一次数据泄露之处，因此面试官用它来看你是否对它进行结构化的推理，而不是背诵流行词。他们寻找的信号是你**把三层分开**——传输（HTTPS，始终）、认证（无状态地证明身份，通过 bearer token/JWT/OAuth）和授权（scope 与最小权限）——并且不把它们混为一谈，例如正确地用 `401` 表示“未认证”而用 `403` 表示“已认证但不被允许”。强的回答表现出对实践取舍的意识：JWT 方便且无状态，但在过期前难以吊销（因此用短生命周期加 refresh token）；API key 标识应用而非用户；OAuth 之所以存在，正是为了让用户不必把密码交给第三方。把它与 REST 的无状态性联系起来——凭证在每个请求上、没有 server session——表明你理解 API 安全*为什么*是这个样子。

传输：始终 HTTPS

认证选项

授权：scope 与 role

其他要点

为什么这很重要

相关问题