繁中版 | 简中版 | العرف | Azərbaycan | বাংলা | كاتال | čština | Deutsch | ελληνικά | español | فaarsی | فرانسايس | हिंदी | إندونيسيا | الإيطالي | 日本語 | 한국어 | ພາສາລາວ | македонвمس | മലയാളം | монгол | Nederlands | بولسكي | البرتغالية (برازيل) | рсتمر | ไทย | Türkçe | українвمس | tiếng việt | ъъареки
قائمة مرجعية لأهم تدابير مضادة للأمن عند تصميم واختبار وتصوير واجهة برمجة التطبيقات الخاصة بك.
Basic Auth . استخدم المصادقة القياسية بدلاً من ذلك (على سبيل المثال ، JWT). Authentication ، token generation ، password storage . استخدم المعايير. Max Retry and Jail في تسجيل الدخول. JWT Secret ) لجعل الغاشمة يجبر الرمز المميز بشدة. HS256 أو RS256 ). TTL ، RTTL ) أقصر قدر الإمكان. HSTS مع SSL لتجنب هجمات SSL. redirect_uri من جانب خادم للسماح فقط بعناوين URL التي تم تسويتها. response_type=token ). state مع تجزئة عشوائية لمنع CSRF في عملية ترخيص OAuth. GET (read) ، POST (create) ، PUT/PATCH (replace/update) ، DELETE (to delete a record) ، والاستجابة مع 405 Method Not Allowed إذا كانت الطريقة المطلوبة isn 'ر المناسب للموارد المطلوبة. content-type عند الطلب قبول رأس (مفاوضات المحتوى) للسماح فقط بتنسيقك المدعوم (على سبيل المثال ، application/xml ، application/json ، إلخ) والرد مع 406 Not Acceptable إذا لم تكن متطابقة. content-type البيانات المنشورة عند قبول (على سبيل المثال ، application/x-www-form-urlencoded ، multipart/form-data ، application/json ، إلخ). XSS ، SQL-Injection ، Remote Code Execution ، إلخ). credentials Passwords أو security tokens أو API keys ) في عنوان URL ، ولكن استخدم رأس التفويض القياسي. Quota ، أو Spike Arrest ، أو Concurrent Rate Limit ) ونشر موارد واجهات برمجة التطبيقات بشكل ديناميكي. /me/orders بدلاً من /user/654321/orders . UUID بدلاً من ذلك. XXE (هجوم كيان خارجي XML). Billion Laughs/XML bomb عبر هجوم التوسع في الكيان الأسي. X-Content-Type-Options: nosniff . X-Frame-Options: deny Header. Content-Security-Policy: default-src 'none' . X-Powered-By ، Server ، X-AspNet-Version ، إلخ. content-type لاستجابتك. إذا قمت بإرجاع application/json ، فإن استجابة content-type الخاصة بك هي application/json . credentials أو passwords أو security tokens . 200 OK ، 400 Bad Request ، 401 Unauthorized ، 405 Method Not Allowed ، إلخ). لا تتردد في المساهمة من خلال رفع هذا المستودع ، وإجراء بعض التغييرات ، وتقديم طلبات السحب. لأي أسئلة ، أسقط لنا رسالة بريد إلكتروني على [email protected] .
