为防止未知的API或已废弃的API引发数据泄露、业务中断等风险，您可以使用边缘安全加速 ESA的API安全功能。该功能通过机器学习技术持续分析您站点的业务流量，自动发现API端点，帮助您统一管理API、识别敏感数据泄露和API滥用等问题。
步骤一：配置会话标识符
为实现用户级别的API行为分析与异常检测，您需要配置一个会话标识符。该标识符可用于标识每个访问者的身份，是ESA精确识别并防护针对特定用户攻击的基础。因此建议您在开始使用API安全功能前，先进行会话标识符配置。
在ESA控制台，选择站点管理，在站点列单击目标站点。
在左侧导航栏，选择。
在API安全页面，选择设置页签，单击会话标识符栏的添加按钮进行配置。
根据业务需求，选择标识符类型：标头、Cookie或JWT声明（需要已创建或新建），并填入对应的自定义标头名称即可。
步骤二：发现与评估API
配置会话标识符后，ESA会开始自动发现API。您需要评估这些API，将其标记为已管理或已忽略，以确保核心业务API得到全面保护，同时排除无需防护的API。
发现API
ESA将自动针对站点下的流量进行机器学习并结合会话标识符找到站点对应的API。
为保证发现结果的有效性和时效性，本功能仅统计30天内被有效请求过的API。
在ESA控制台，选择站点管理，在站点列单击目标站点。
在左侧导航栏，选择。
在API安全页面选择API发现页签，ESA将罗列出已发现API数量和详细信息列表。
评估API
为了帮助您快速分类API，ESA将已发现的API的状态分为：
状态 | 安全防护级别 | 建议操作 |
待评估 | 无主动防护。此状态下的API调用不会触发API安全相关的防护策略。 | 高风险状态。请尽快评估并将其标记为已管理或已忽略。 |
已管理 | 完全忽略。ESA将不再对此API进行任何统计、分析和防护。 | 推荐状态。所有对外提供服务的业务API都应处于此状态。 |
已忽略 | 受全面保护。纳入API安全的所有检测和防护范围，包括异常行为分析、攻击防护等。 | 适用于内部测试、已废弃或确认无需安全管理的API。 |
您可以结合业务需要对已发现API进行评估：
在ESA控制台，选择站点管理，在站点列单击目标站点。
在左侧导航栏，选择。
在API安全页面选择API发现页签，单击待评估数据区的筛选按钮过滤出所有待评估API。
在下方待评估API列表中，标记管理API或是忽略该API。您也可以批量勾选待操作API，在列表下方选择所需的动作。
