使用 apigee 保护 API

Question

我有一个托管我的 api 的服务器 -> http://000.000.0.000:8080/todos

我使用 apigee 来管理我的 api 安全性。 -> http://inscripts-test.apigee.net/v1/api/todos?apikey=myapikeyhere

这是两个 URL，一个来自我的服务器，一个是 apigee 使用 api 密钥为我生成的。

理想情况下，向http://000.000.0.000:8080 地址发出的所有 api 请求都应该被拒绝，并且应该只允许对http://inscripts-test.apigee.net 地址的调用。

我是 API 领域的新手，请帮助我了解这些安全功能应该如何工作。

Answer 1

首先要做的事情： 您可能不想通过将 apikey 发布到 StackOverflow 来公开您的 apikey。如果可以，您将需要进入开发者应用页面并重新生成您的密钥：

锁定您的后端需要在后端进行更改，并且可能还需要在 Apigee 层进行更改。要真正锁定您的后端，您需要只允许通过 https 进行访问。否则，您的流量和任何安全措施可能会在 Apigee 和您的后端之间受到影响。

鉴于您更改为使用 https，您有一些选择：

1. 您可以要求身份验证（用户名和密码）并将您的后端修改为只允许经过身份验证的用户。然后为网关分配用户名和密码，并将它们包含在通信中。
2. 如果您只允许 https，这可能是您最安全的，并且可能是最简单的：您可以在 Apigee 和您的后端之间使用 2 路 SSL（相互身份验证）。您的后端验证仅允许 Apigee 证书连接到您的后端。见this doc on setting up Apigee to target SSL。