如何保护无需用户认证的API仅允许指定客户端调用？

针对Web前端的防护措施 #

• 请求签名验证：前端每次发起请求时，结合当前时间戳、请求路径和预存密钥生成HMAC签名（比如HMAC-SHA256(timestamp + requestPath, secretKey)），将签名和时间戳放在请求头里。后端先校验时间戳是否在有效窗口（比如5分钟）内，再用相同算法生成签名对比，不一致直接拒绝。密钥通过环境变量注入前端代码，避免硬编码，定期轮换。
• Referer/Origin 校验：后端添加校验逻辑，只允许你的官方域名作为Referer或Origin请求头的值。虽这两个字段可被篡改，但能过滤大部分无意义恶意请求，搭配其他措施效果更好。
• 严格频率限制：基于IP地址设置请求频率阈值，比如单个IP每分钟最多允许50次请求，超过则临时封禁1小时。用Redis实现计数逻辑，比如INCR ip:192.168.1.1后设置EXPIRE ip:192.168.1.1 3600，超阈值直接返回429状态码。
• API路径隐藏：避免在前端代码中暴露真实API路径，比如将/api/process-data映射为/x/y/z，后端内部做路径转发。同时不在前端注释或日志中泄露API细节，增加攻击者猜测路径的成本。

针对移动端应用的防护措施 #

• App签名校验：后端预存你的App的签名哈希值（Android取签名证书的SHA-256，iOS取App签名哈希），移动端请求时将包名/Bundle ID和签名哈希放在请求头中，后端对比预存值，不一致则拒绝请求。
• 设备指纹绑定：收集设备的OAID（Android）或IDFA（iOS，需用户授权）、设备型号、系统版本等信息生成唯一指纹，后端记录合法设备指纹列表，陌生指纹的请求触发二次验证或直接拦截。注意遵守隐私法规，不收集不必要的敏感信息。
• 请求体加密：对移动端的请求体和响应体采用AES加密，密钥存储在系统安全容器中（Android用Keystore，iOS用Keychain），防止反编译获取。后端收到请求后先解密再处理，确保数据传输过程中不被篡改或窃取。
• 反逆向加固：给App开启代码混淆（Android用ProGuard/R8，iOS用Obfuscator-LLVM），并使用第三方加固服务（如腾讯乐固、360加固保），增加攻击者反编译、调试App的难度，避免密钥和API逻辑泄露。

针对后端系统间调用的防护措施 #

• 专属API密钥验证：给每个信任的后端系统分配唯一的API密钥，请求时通过Authorization: Bearer <api_key>头传递。后端维护密钥列表，定期轮换失效密钥，确保只有授权系统能调用API。
• IP白名单机制：在防火墙或后端网关中设置IP白名单，只允许信任的后端服务器IP访问你的API端点。不在白名单内的请求直接拦截，从网络层面阻断恶意调用。
• 请求体签名校验：后端间调用时，除API密钥外，还要对请求体生成哈希值（比如SHA-256），结合密钥生成签名放在请求头中。后端校验签名时，重新计算请求体哈希并对比签名，防止请求被篡改。

通用补充防护手段 #

• 实时日志与监控：记录所有API请求的IP、请求头、请求参数、响应状态等信息，设置告警规则，比如当某IP短时间内触发大量403错误、请求频率超过阈值时，立即发送告警并自动封禁。
• 动态规则调整：根据监控数据不断优化防护策略，比如发现某地区IP恶意请求频繁，就临时添加地区IP黑名单；出现新的攻击模式时，及时更新签名算法或校验逻辑。
• 重要功能多层防护：对于核心功能API（如数据修改、资源生成），必须叠加多种防护措施（比如签名+限流+设备指纹），不能依赖单一手段降低风险。

内容的提问来源于stack exchange，提问作者john bowlee