API安全实战：从信息泄露到越权访问

API安全现状

随着微服务架构的普及，API已成为应用间通信的主要方式，同时也是攻击者关注的重点目标。

#### JWT Token伪造

python

# 不安全的JWT验证
import jwttoken = request.headers.get("Authorization")
payload = jwt.decode(token, algorithms=["HS256", "none"])  # 危险！

攻击者可以将算法改为"none"绕过签名验证：

python

import jwt
伪造token
payload = {"user": "admin", "role": "superuser"}
fake_token = jwt.encode(payload, "", algorithm="none")

#### API Key泄露

#### 水平越权

text

GET /api/user/123/profile  # 正常用户访问自己的资料
GET /api/user/124/profile  # 修改ID访问他人资料

#### 垂直越权

text

POST /api/admin/users/delete  # 普通用户调用管理员接口

#### 错误信息泄露

json

{
  "error": "Database error: SQLSTATE[42S02]: Base table or view 'users' not found"
}

#### 敏感数据暴露

json

{
  "user": {
    "id": 123,
    "name": "John",
    "password_hash": "$2b$12$...",  // 不应返回
    "api_key": "sk-xxx"  // 不应返回
  }
}