api - 如果客户端 IP 白名单，我是否仍应使用 API key

Question

这是我第一次编写面向公众的 Web API。

我的经理建议不要为我正在编写的 Web API 使用 API key ，因为我们将使用该 API 的客户端的 IP 列入白名单，并且认为我们不需要为 API key 操心(即额外的时间和复杂性) )

我对他人的意见很感兴趣。

我认为我们确实需要 API key ，原因如下(按重要性降序排列)。

1. 允许根据 API key 跟踪和限制来自客户端的请求。他们的 ip 可能会不时更改，但 api key 不应该。因此， future 使用 api key 报告请求会更容易

2. 白名单ip可以被仿冒吗？从我阅读的内容来看，我认为将启用 TLS 的事实使这成为不可能，因为服务器和客户端之间的握手已经完成，因此欺骗性 ip 会导致此握手失败？

3. 他没有任何线索，原则上我应该无视他:-)

我们依赖白名单 ip 的事实是否消除了使用 API key 进行单独身份验证的需要(客户端可以访问所有 API，因此不需要授权)？

Answer 1

只信任 ip 白名单会增加风险:

1) 运算符(operator)错误可能会将错误的 ip 或 ip 范围列入白名单。

2) 它增加了对客户端的安全要求:没有不安全的软件可以从这些机器或可以共享或劫持该外部 ip 的机器上运行。

我想说一个更安全的系统将依赖于 ip 白名单和客户端 ssl 证书。

您的情况可能比较特殊。但是，作为一般规则，我建议不要仅使用 ip 白名单。