Безопасность вызовов API - PullRequest
0 голосов
/ 06 марта 2012

Введение
Здравствуйте,

Я типичный программист, который знает, как использовать API, но склонен понимать, что я должен знать больше об использовании API, поднимать плечи и продолжать использовать то, что я знаю.

Я знаю, как устранить неполадки API (хотя я ненавижу это делать), и я знаю, что большую часть времени это действительно хорошая идея - тщательно проверить данные, отправляемые на мой собственный API, в случае, если кто-то еще хочет отправить их собственные значения вместо запланированных.

Вопрос
Однако я не могу понять одну вещь: почему считается необходимым использовать SSL / https для вызовов API между двумя сайтами? Например; мой сайт сворачивается в API на другом сайте. Между вызовами этих 2 сайтов нет ни пользователя, ни браузера.

Возможно, я пропустил какое-то общее правило в веб-практике, но где посредник, который может присоединиться, отправил информацию в такой ситуации?

Я понимаю, что вредоносная программа может собирать ваши личные данные, когда они отправляются через ваш браузер.

Вопрос в основном; Зачем нужен SSL, когда звонки выполняются без участия какого-либо частного пользователя, непосредственно вовлеченного в звонок?

Дополнительные мысли
Если это тот случай, когда я пропустил какую-то действительно важную информацию об API, дайте мне знать.

Спасибо за ваше время!

1 Ответ

1 голос
/ 06 марта 2012

Браузер / пользователь не должен быть напрямую вовлечен в анализ сетевых пакетов.Использование cURL на вашем веб-сервере аналогично использованию браузера на домашнем компьютере, за исключением того факта, что запрос поступает с другого компьютера / сети и отсутствует графический интерфейс.Кто-то все еще может прослушивать что-то среднее между компьютером, выполняющим cURL (клиент) и сервером, на котором находится API (сервер).

Лучше всего требовать SSL для вызовов API, потому что API обычно требует ключ, который предоставляет доступк API.Если этот запрос отправляется в виде простого текста, любой, кто прослушивает пакеты между сервером и клиентом, может увидеть этот ключ API и начать его использовать.С другой стороны, если запрос API установлен через SSL, он будет зашифрован и его будет гораздо сложнее выяснить.

Добро пожаловать на сайт PullRequest, где вы можете задавать вопросы и получать ответы от других членов сообщества.
...