繁中版 | 简中版 | العريz | azərbaycan | বাংলা | Català | čeština | 도이치치 | ελληνικά | Español | ف ارس | Français | हिंदी | 인도네시아 | 이탈리아 노 | 日本語 | 한국어 | ພາສາລາວ | македонски | മലയാളം | мон 말 | Nederlands | Polski | 포르투갈 (브라질) | 초 русск고 | ไทย | Türkçe | українська | tiệng viết | 미치고 있습니다
API를 설계, 테스트 및 공개 할 때 가장 중요한 보안 대책의 점검 목록.
Basic Auth 사용하지 마십시오. 대신 표준 인증을 사용하십시오 (예 : JWT). Authentication , token generation , password storage 에서 휠을 재발 명하지 마십시오. 표준을 사용하십시오. Max Retry 및 Jail 기능을 사용하십시오. JWT Secret )를 사용하여 토큰을 매우 어렵게 만듭니다. HS256 또는 RS256 )에서 알고리즘을 강제로 강제하십시오. TTL , RTTL )를 만듭니다. HSTS 헤더를 사용하십시오. redirect_uri server-side를 확인하여 안전한 URL 만 허용하십시오. response_type=token 허용하지 않음). state 매개 변수를 사용하십시오. GET (read) , POST (create) , PUT/PATCH (replace/update) 및 DELETE (to delete a record) , 요청 된 메소드가 405 Method Not Allowed 로 응답하십시오. 요청 된 자원에 적합합니다. content-type 확인하십시오 헤더 (콘텐츠 협상)를 수락하여 지원되는 형식 (예 : application/xml , application/json 등) 만 허용하고 일치하지 않으면 406 Not Acceptable 으로 응답하십시오. content-type 확인하십시오 (예 : application/x-www-form-urlencoded , multipart/form-data , application/json 등). XSS , SQL-Injection , Remote Code Execution 등)을 피하기 위해 사용자 입력을 확인하십시오. credentials , Passwords , security tokens 또는 API keys )를 사용하지 말고 표준 인증 헤더를 사용하십시오. Quota , Spike Arrest 또는 Concurrent Rate Limit )을 활성화하고 API 리소스를 동적으로 배포하십시오. /user/654321/orders 대신 /me/orders . UUID 사용하십시오. XXE (XML 외부 엔티티 공격)를 피하기 위해 엔티티 구문 분석이 활성화되지 않도록하십시오. Billion Laughs/XML bomb 피할 수 있도록 엔티티 확장이 가능하지 않은지 확인하십시오. X-Content-Type-Options: nosniff 헤더를 보내십시오. X-Frame-Options: deny . Content-Security-Policy: default-src 'none' 헤더를 보내십시오. X-Powered-By , Server , X-AspNet-Version 등. content-type 강제로합니다. application/json 반환하면 content-type 응답은 application/json 입니다. credentials , passwords 또는 security tokens 같은 민감한 데이터를 반환하지 마십시오. 200 OK , 400 Bad Request , 401 Unauthorized , 405 Method Not Allowed 등). 이 저장소를 포킹하고, 변경하고, 풀 요청을 제출하여 자유롭게 기여하십시오. 질문이 있으시면 [email protected] 로 이메일을 보내주십시오.
