API 安全

这一课你将能做到

1. 识别 OWASP API Security Top 10 风险，并在代码中修复常见漏洞
2. 实现 SQL 注入、XSS、CSRF、SSRF 的防护方案
3. 配置限流、防暴力破解、敏感数据脱敏等安全机制

为什么要学

API 是攻击者的主要入口。2023 年 OWASP 把 API 安全单独列为一个类别，因为传统 Web 安全的思路已经不够用了。你的课程数据、用户提交、支付信息——全靠 API 安全守着。一次注入、一次越权，可能让整个数据库泄露。

先建立图像

OWASP API Security Top 10 (2023)：

1. 失效的对象级授权 (BOLA)     ← 越权访问他人数据
2. 失效的用户认证              ← Token 泄露、弱密码
3. 失效的对象属性级授权         ← 字段级越权（如看到他人手机号）
4. 资源消耗无限制              ← 无限制分页、大文件上传
5. 失效的功能级授权             ← 普通用户调用管理接口
6. 服务器端请求伪造 (SSRF)      ← 服务端被利用发恶意请求
7. 安全配置错误                ← 默认密码、调试模式开启
8. 注入                        ← SQL、NoSQL、命令注入
9. 库存管理不当                ← 旧版本 API 未下线、测试环境暴露
10. API 消费不安全             ← 调用第三方 API 时泄露数据

跟着做

步骤 1：防护 BOLA（越权访问）

BOLA 是最常见的 API 漏洞：用户 A 修改请求里的 ID，访问用户 B 的数据。

// 错误写法：直接按 ID 查询，不校验归属
@GetMapping("/submissions/{id}")
public ApiResponse<Submission> getSubmission(@PathVariable Long id) {
    return ApiResponse.success(submissionRepository.findById(id).orElseThrow());
}

// 正确写法：校验资源归属
@GetMapping("/submissions/{id}")
public ApiResponse<Submission> getSubmission(@PathVariable Long id,
                                             @AuthenticationPrincipal User currentUser) {
    Submission submission = submissionRepository.findById(id)
            .orElseThrow(() -> new BusinessException(404, "提交不存在"));

    if (!submission.getUserId().equals(currentUser.getId())
            && !currentUser.hasRole("ADMIN")) {
        throw new BusinessException(403, "无权查看此提交");
    }

    return ApiResponse.success(submission);
}

步骤 2：SQL 注入防护

// 错误写法：字符串拼接 SQL
@Query(value = "SELECT * FROM lessons WHERE title LIKE '%" + keyword + "%'", nativeQuery = true)
List<Lesson> searchByTitle(String keyword);

// 正确写法：参数化查询
@Query("SELECT l FROM Lesson l WHERE l.title LIKE %:keyword%")
List<Lesson> searchByTitle(@Param("keyword") String keyword);

// MyBatis 错误写法
@Select("SELECT * FROM lessons WHERE title LIKE '%${keyword}%'")
List<Lesson> searchByTitle(String keyword);

// MyBatis 正确写法
@Select("SELECT * FROM lessons WHERE title LIKE CONCAT('%', #{keyword}, '%')")
List<Lesson> searchByTitle(String keyword);

步骤 3：XSS 防护

// 输出时转义（Thymeleaf 自动转义，API 返回 JSON 时前端处理）
// 但存储时也要过滤危险内容

@Component
public class XssSanitizer {

    public String sanitize(String input) {
        if (input == null) return null;
        return input
                .replace("<", "&lt;")
                .replace(">", "&gt;")
                .replace("\"", "&quot;")
                .replace("'", "&#x27;")
                .replace("/", "&#x2F;");
    }
}

// 或使用 OWASP Java Encoder
import org.owasp.encoder.Encode;

public String sanitize(String input) {
    return Encode.forHtml(input);
}