无用户认证场景下如何防止他人盗用自建的REST API？

核心前提结论 #

不存在100%仅允许自有客户端访问公开无认证API的技术方案。原因很简单：你的React客户端运行在公开的用户浏览器环境中，所有请求逻辑、加密参数、校验规则都可以通过调试工具逆向提取，攻击者只要模拟出和你客户端完全一致的请求特征，后端没有办法100%区分请求来自于你的客户端还是第三方伪造的。所有方案都只能提高盗用的成本，无法彻底杜绝。

可落地的防滥用优化方案 #

• 基础访问控制
  • 在Express中配置CORS策略，通过设置Access-Control-Allow-Origin响应头仅允许你的前端域名访问，可拦截普通开发者在自有前端项目中直接调用你的接口，注意该规则对非浏览器请求（如Postman、爬虫脚本）无效
  • 接入express-rate-limit等速率限制中间件，限制单个IP单位时间内的请求次数，比如单IP每分钟最多请求60次，大幅提高批量爬取数据的成本
  • 增加请求签名校验机制：前端请求时携带动态生成的签名，签名规则可以设计为时间戳+请求路径+自定义混淆盐值拼接后做哈希运算，后端按照相同规则校验签名有效性，同时定期更新签名生成规则，提高前端逆向的门槛
• 异常流量过滤
  • 后端增加请求特征校验，过滤User-Agent、请求头顺序明显不符合普通浏览器特征的工具请求，可拦截大部分低级爬虫
  • 对超出速率阈值的IP弹出人机校验，验证通过后才允许继续访问，几乎不会影响正常用户的使用体验
• 降低接口复用价值
  • 对接口返回的结构化数据做轻度混淆，比如字段名替换为无意义的短字符串，前端侧再做映射解析，第三方就算拿到接口返回结果也需要额外的适配成本
  • 核心可复用资源可添加隐蔽的溯源水印，被盗用后可追溯来源

公开无认证API的行业通用方案 #

面向公开用户、无登录流程的API，所有企业都不会追求100%杜绝盗用，核心思路都是将盗用的成本拉高到高于盗用收益的水平，配套措施包括：

• 多维度流量风控：基于IP段、设备特征、请求行为等多维度建模识别异常流量，直接拦截黑灰产常用IP段的请求
• 分级速率限制：针对不同价值的接口设置不同的请求阈值，核心高价值接口的阈值更低，盗用成本更高
• 法务兜底：对于大规模盗用API获利的商业主体，通过法律途径追责，是很多企业应对大额盗用的核心兜底手段

内容的提问来源于stack exchange，提问作者Kasun Jalitha