インターフェイス設計のセキュリティに関して、考慮する必要がある2つの主要なセキュリティ問題があります。1つは、インターフェイスアクセスの合法性（ユーザーログイン検証、ソース検証、周波数制御など）を主に解決するインターフェイスアクセス検証とアクセス許可の問題です。 。）;もう1つは、データ送信セキュリティです。主に、監視および改ざんされているインターフェイスデータと、インターフェイスエラー処理（HTTPSの安全な送信、機密コンテンツの暗号化、デジタル署名など）を解決します。
1.インターフェイスコールリプレイ攻撃
SMS /メールと確認コードのインターフェース、注文の生成、コメントの送信などで一般的です。リクエストの合法性を確認する必要があります。リクエストの合法性とは、主にAPIが不正に呼び出されるのを防ぐ方法を指します。
修理の提案：
1.コメント送信やその他の操作に検証コードメカニズムを使用して、データ生成ビジネスが悪意を持って呼び出されるのを防ぎます。
2. SMS /電子メールインターフェイスは、ドッキングコールの頻度を制御するか、上限を制限する必要があります。
3.各注文（インターフェースアクセス）は一意のトークンを使用します。1回の送信後、トークンは無効になります。
2.インターフェイスコールトラバーサルの脆弱性
Webインターフェイスは通常、いくつかの一般的な機能要件をカプセル化し、対応するデータを取得するか、さまざまなパラメータを渡すことで対応する機能を実行します。最も一般的なシナリオは、インターフェイスを介してidパラメータを渡し、対応するID情報を返すことです。このようなインターフェイスは、要求の合法性が厳密にチェックされていない場合、不正アクセスまたは不正アクセスの傾向があります。
修理の提案：
1.現在のユーザーの資格情報またはIDをセッションに保存し、渡された資格情報またはIDパラメーター値がセッションの値と一致する場合にのみ結果を返します。
通常、本人確認のインターフェースを使用し、クライアントとサーバー間で機密情報のプレーンテキスト情報を直接転送しないでください。機密情報をサーバー上のユーザーIDに関連付け、クライアントにユーザーIDを保存して送信できます。最後に、サーバーはIDに従って対応する情報を取り出し、検証を実行します。
3.インターフェイス呼び出しパラメータの改ざんの脆弱性
SMSと電子メール通話のビジネスリンク（SMS検証コードや電子メール検証コードなど）。変更対応リクエストの携帯電話番号または電子メールアドレスパラメータが送信された後、変更された携帯電話番号または電子メールがシステムから送信された情報を受信した場合、インターフェイスパラメータが改ざんされる可能性があることを意味します。
修理の提案：
1.重要な資格情報がセッションに保存されます。パスワードを忘れたり、確認コードを再送信したりするなどのサービスでは、顧客が要求したパラメーターではなく、セッションからユーザー資格情報を取得します。
2.クライアントから携帯電話番号やメールアドレスなどのアカウント情報を取得し、セッションの資格情報で確認し、確認に合格した後にのみ業務を許可します。
4.インターフェイスの不正アクセス/通話の脆弱性
通常のビジネスでは、機密機能のインターフェースは訪問者の身元を確認する必要があり、検証に合格した後にのみインターフェースを呼び出して操作することができます。インターフェイスが認証されていないか、ID検証が厳密でないため、不正アクセスや不正呼び出しが発生する可能性があります。不正アクセスは、垂直方向の超権限と水平方向の超権限に分けられます。
修理の提案：
1.トークン検証方法を使用して、トークンパラメータをURLに追加します。トークン検証に合格した場合にのみ、インターフェイスデータが返され、トークンは1回使用すると無効になります。
2.インターフェイスが呼び出されると、サーバーはセッションの状態を確認します。ログインしている場合はインターフェイスデータを返し、ログインしていない場合はカスタムエラーメッセージを返します。
3.不正アクセスインターフェイスのセッション認証を実行し、ユーザーがアクセスする各URLを認証し、ユーザーIDとトークンを正しく確認します。
3.サーバーは、IDの一意性とアクセスインターフェイスのソースを確認する必要があります。異なるIDは、表示、変更、削除、および独自の情報への追加のみが可能です。