C#中的API安全实践开发指南

最新推荐文章于 2025-09-30 21:06:00 发布

原创

最新推荐文章于 2025-09-30 21:06:00 发布 · 1.1k 阅读

标签

#c# #安全 #数据库 #.netcore #.net

🏆作者：科技、互联网行业优质创作者
🏆专注领域：.Net技术、软件架构、人工智能、数字化转型、DeveloperSharp、微服务、工业互联网、智能制造
🏆欢迎关注我（Net数字智慧化基地），里面有很多高价值技术文章，是你刻苦努力也积累不到的经验，能助你快速成长。升职+涨薪！！

概述：强大的 API 安全性的重要性怎么强调都不为过。在这个网络威胁猖獗的时代，保护我们的 API 端点不仅是必需品，也是我们的责任。让我们剖析这些关键的安全措施，并巧妙地实施它们。让我们讨论以下 12 个主题，以使我们的 API 更安全：使用 HTTPS 🔒使用 OAuth2 🔐使用速率限制 🚦使用 API 版本控制 🌀输入验证 ✅使用分级 API 密钥 🗝️授权 🔐白名单 ✅OWASP API 安全风险 🔍使用 API 网关 🌉错误处理 🚨输入验证 🛡️1️⃣ 使用 HTTPS 🔒问题陈述：您的 API 通过 Internet 传输敏感数据，并且当前使用不安全的 HTTP。

强大的 API 安全性的重要性怎么强调都不为过。在这个网络威胁猖獗的时代，保护我们的 API 端点不仅是必需品，也是我们的责任。让我们剖析这些关键的安全措施，并巧妙地实施它们。

让我们讨论以下 12 个主题，以使我们的 API 更安全：

使用 HTTPS 🔒
使用 OAuth2 🔐
使用速率限制 🚦
使用 API 版本控制 🌀
输入验证 ✅
使用分级 API 密钥 🗝️
授权 🔐
白名单 ✅
OWASP API 安全风险 🔍
使用 API 网关 🌉
错误处理 🚨
输入验证 🛡️

1️⃣ 使用 HTTPS 🔒

问题陈述：您的 API 通过 Internet 传输敏感数据，并且当前使用不安全的 HTTP。如何保护传输中的数据？

解决方案：实现HTTPS对客户端和服务器之间的通信进行加密。

C# 示例：

public class SecureApiController : ApiController  
{  
    // Use attribute to enforce HTTPS  
    [RequireHttps]  
    public HttpResponseMessage GetSensitiveData()  
    {  
        // Fetch sensitive data logic  
        var sensitiveData = new { /* ... */ };  
        return Request.CreateResponse(HttpStatusCode.OK, sensitiveData);  
    }  
}  
  
// Custom attribute to enforce HTTPS  
public class RequireHttpsAttribute : AuthorizationFilterAttribute  
{  
    public override void OnAuthorization(HttpActionContext actionContext)  
    {  
        if (actionContext.Request.RequestUri.Scheme != Uri.UriSchemeHttps)  
        {  
            actionContext.Response = new HttpResponseMessage(System.Net.HttpStatusCode.Forbidden)  
            {  
                ReasonPhrase = "HTTPS Required"  
            };  
        }  
        else  
        {  
            base.OnAuthorization(actionContext);  
        }  
    }  
}

始终使用 HTTPS 来保护客户端和服务器之间的通信。在 ASP.NET Core 中，可以在以下位置强制执行 HTTPS：Startup.cs

public void ConfigureServices(IServiceCollection services)  
{  
    services.AddHttpsRedirection(options =>  
    {  
        options.RedirectStatusCode = StatusCodes.Status308PermanentRedirect;  
        options.HttpsPort = 443;  
    });  
}  
  
public void Configure(IApplicationBuilder app, IWebHostEnvironment env)   
{  
    app.UseHttpsRedirection();  
}

2️⃣ 使用 OAuth2 🔐

问题陈述：您的 API 需要保护提供个人用户数据的资源服务器。您需要确保只有经过身份验证和授权的客户端才能访问此数据。

解决方案：实现 OAuth2（一种授权协议），以向客户端提供安全的受限访问令牌。

C# 示例：

// OAuth2 configuration in Startup.cs  
public void ConfigureAuth(IAppBuilder app)  
{  
    // Configure the application for OAuth based flow  
    PublicClientId = "self";  
    OAuthOptions = new OAuthAuthorizationServerOptions  
    {  
        TokenEndpointPath = new PathString("/Token"),  
        Provider = new ApplicationOAuthProvider(PublicClientId),  
        AuthorizeEndpointPath = new PathString("/api/Account/Authorize"),  
        AccessTokenExpireTimeSpan = TimeSpan.FromDays(14),  
        // In production mode set AllowInsecureHttp = false  
        AllowInsecureHttp = true  
    };  
  
    // Enable the application to use bearer tokens to authenticate users  
    app.UseOAuthBearerTokens(OAuthOptions);  
}

实现 OAuth 2.0 授权框架。它支持安全的委托访问，允许客户端获取有限的访问令牌来验证 API 请求。在 ASP.NET Core 中，可以使用 Microsoft Identity 平台：

services.AddAuthentication(JwtBearerDefaults.AuthenticationScheme)  
    .AddMicrosoftIdentityWebApi(Configuration, "AzureAd");  
  
services.AddAuthorization(options =>  
{  
    options.AddPolicy("RequireAdminRole", policy =>   
    {  
        policy.RequireRole("Admin");  
    });  
});

3️⃣ 使用速率限制 🚦

问题陈述：您的 API 流量过大，导致性能下降。您需要实现速率限制来控制流量。

解决方案：使用中间件根据 IP、用户或操作组强制实施速率限制规则。

C# 示例：

// Middleware for rate limiting  
public class RateLimitingMiddleware : OwinMiddleware  
{  
    public RateLimitingMiddleware(OwinMiddleware next) : base(next) { }  
  
    public override async Task Invoke(IOwinContext context)  
    {  
        if (RateLimitReached(context))  
        {  
            context.Response.StatusCode = (int)HttpStatusCode.TooManyRequests;  
            return;  
        }  
  
        await Next.Invoke(context);  
    }  
  
    private bool RateLimitReached(IOwinContext context)  
    {  
        // Implement your rate limiting logic here based on the context  
        // For instance, check the IP address and limit the number of requests per minute  
        return false;  
    }  
}

实施速率限制以限制客户端在给定时间窗口内可以发出的请求数。您可以根据客户端 IP、用户 ID、API 路由等各种因素定义速率限制。下面是使用 AspNetCoreRateLimit 的示例：