管理和保护站点下的API安全-边缘安全加速(ESA)-阿里云帮助中心

在业务快速迭代中，API资产不清、攻击面未知、安全策略管理分散是常见的核心痛点。边缘安全加速 ESA的API安全功能旨在解决这些问题，帮助您在边缘层构建统一的API安全屏障。它通过对流经边缘节点的访问请求进行分析，结合机器学习模型，实现对业务API的自动发现、持续监控与安全防护。

说明

当前API安全功能需联系您的客户经理进行开通。

功能介绍

功能	功能概述
API发现	为防止未知的API或已废弃的API引发数据泄露、业务中断等风险，您可以使用边缘安全加速 ESA的API安全功能。该功能通过机器学习技术持续分析您站点的业务流量，自动发现API端点，帮助您统一管理API、识别敏感数据泄露和API滥用等问题。
API管理	ESA将针对已管理API进行持续监控，帮助您了解站点下的API性能以及安全状态。
API架构合规验证	上传API的架构标准后，ESA将自动匹配符合该规范的已管理API，同时针对传入的请求进行合规验证并进行处理，保障业务API安全。
API令牌合规验证	通过添加自定义令牌JWT（JSON Web Token）并绑定待验证的API即可创建API令牌合规验证规则，ESA将针对传入的请求进行令牌合规验证并进行处理，保障您的业务API安全。
API安全设置	通过API安全设置，可以对会话标识符、架构验证设置、令牌配置进行统一管理。

ESA的API安全分析是在边缘节点以被动方式进行的，对性能影响极小。根据测试，开启API发现和监控功能后，平均请求处理延迟增加通常为毫秒级。开启架构合规验证或令牌验证等主动拦截功能后，延迟增加也控制在毫秒级别，对用户体验基本无感知。

随着业务快速迭代，开发人员可能会发布一些未及时向安全团队报备的API接口，这些API游离于安全管控体系之外，成为潜在的攻击入口。

推荐功能：API发现

通过启用API发现功能，ESA能够自动学习并呈现所有经由其代理的API端点。安全管理员可以定期审查这份清单，将新发现的未知API纳入管理，或与开发团队确认后将其标记为废弃，从而确保API资产的完整可见，消除安全盲点。

对于面向公众提供服务的业务API，攻击者常通过发送大量不符合预定义格式的畸形请求来进行探测或攻击，这不仅消耗了宝贵的源站计算资源，还可能触发未知漏洞。

您可以为核心业务API上传其对应的OpenAPI规范文件。ESA将以此为依据，在边缘节点对每一个传入请求进行结构和参数的合规性验证。任何不符合规范的请求都将在到达您的源站服务器之前被拦截或记录，从而有效抵御注入、模糊测试等攻击手段，保障核心业务的稳定与安全。

在前后端分离的架构中，移动端APP或单页应用通常通过调用API与后端服务通信。如何确保这些API仅被合法的客户端调用，是安全体系设计的关键一环。

通过为您的API配置令牌合规验证规则，您可以要求所有客户端在请求时必须携带一个有效的JWT（JSON Web Token）。ESA会在边缘节点完成对JWT的签名校验、过期时间检查等一系列验证工作。只有通过验证的合法请求才会被放行至源站，从而有效防止API被未授权访问或重放攻击。