api接口漏洞

2023年秋天，口漏一个做电商的口漏朋友半夜给我打电话，声音发颤。口漏他说后台突然多出几百笔0元订单，口漏商品全是口漏高单价的手机。查了半小时，口漏发现有人把结算接口里的口漏`price`参数从1999改成了0，服务器照单全收。口漏那一晚他损失了四十多万。口漏这不是口漏电影情节，是口漏真实发生的API接口漏洞攻击。

API接口漏洞，口漏简单说就是口漏程序对外提供的那个“窗口”没关严。攻击者不需要攻破服务器操作系统，口漏也不用偷数据库密码，口漏只要对着接口发请求，把参数改一改、多传几个字段、或者绕过前端校验，就能拿到不该拿的数据、执行不该执行的操作。很多开发者的思维还停留在“前端做了校验就够了”，可前端代码在用户浏览器里跑，改起来比翻书还容易。

我见过一个更离谱的案例。某政务系统有个查询用户信息的接口，设计时只让传用户ID。有人试着把ID换成手机号，居然也能返回数据。再换成身份证号，照样返回。等于说这个接口把三种标识符都当成了查询条件，而且没有做权限绑定。结果就是，任何人只要知道你的手机号，就能拿到你的姓名、住址、身份证号。这种漏洞叫“越权访问”，在OWASP API安全 Top 10 里排第一。

为什么这类漏洞这么多？因为API开发往往追求“快”。产品经理说三天上线，后端工程师就先把功能跑通，鉴权、限流、参数校验这些“非功能性需求”往后放。放一放就忘了。还有些团队用Swagger自动生成文档，文档里把内部接口也暴露出去，测试环境的接口没加认证就部署到公网。攻击者根本不用猜，照着文档挨个试就行。

另一个重灾区是批量赋值。比如用户注册接口，本来只该接收`username`和`password`。但有些框架会自动把请求体里的所有字段映射到数据库模型。攻击者多传一个`role=admin`，注册出来的就是管理员账号。这种漏洞在Ruby on Rails和Spring Boot项目里都出现过，修复方式也简单——显式声明允许的字段白名单。可就是有人懒得写。

那怎么防？我的经验是三条。第一，所有接口默认拒绝，只放行明确需要的参数和角色。第二，别信前端传来的任何东西，价格、数量、用户ID全在后端重新计算或校验。第三，给接口加频率限制和异常监控，比如同一个IP一秒钟请求五十次查询接口，直接封禁并告警。朋友那次事故后，我帮他加了参数签名和金额服务端二次确认，再没出过类似问题。

说句实在话，API漏洞不像SQL注入那样被讲烂了，很多公司连资产测绘都没做全——自己有多少个接口对外暴露都说不清。攻击者却越来越自动化，一个脚本扫几千个IP，专找那些返回200但内容异常的接口。你不管，他就帮你管。安全这事，侥幸一次，可能就得用几个月利润来填。