javascript - 如何仅使用 1 个移动应用程序连接 Api 的特定 URL

Question

我有一个 API，它有用户注册系统。

该 API 由移动应用程序使用。 (大多数 URL 不允许匿名。所有 URL 都使用 token key 。不包括注册 URL。)

并且注册网址必须是开放的。我的意思是该网址没有要授权的 token key 。因为没有授权用户。这是寄存器级别。

当然，注册网址容易受到攻击。我们怎样才能防止这种情况发生？

Answer 1

根据您的威胁模型以及您想要保护端点免受哪些威胁，您有多种选择。以下是其中一些:

• Rate limiting techniques 以防止端点被异常数量的查询轰炸。例如，您可以计算某个时间窗口内来自特定 IP 地址的请求数量，如果超过特定阈值，您就会阻止该 IP
• reCAPTCHA 也可能有用。您可以要求所有对/register的请求都有一个在解决验证码后获得的 token 。非常常见的反垃圾邮件技术
• IP blacklisting 。例如IP 来自 TOR network 可以被阻止，因为所有 Node 都是公共(public)的。您还可以包含可能看起来可疑的任意 IP，具体取决于您的上下文
• User agent黑名单。如果您想限制Web scraping，这可能会有所帮助。事件。例如，您可以选择仅允许来自主流网络浏览器的特定用户代理组