无用户登录交互场景下如何防范网站内部API调用被恶意滥用

这类无需登录、前端直接调用的公开API，防护核心是提升攻击者的滥用成本，同时控制接口被滥用后的影响面，不需要实现绝对防爬，只要让滥用成本高于攻击者的收益即可，适配的方案如下：

• 动态短期令牌校验
  服务端返回前端页面时，直接在HTML响应头或者页面内嵌的JS变量中注入短期、有限次数有效的访问令牌，令牌和当前访问者的IP、UA、匿名会话ID绑定，有效期可设置为1~5分钟。前端调用时间接口时必须携带该令牌，后端校验令牌有效性、绑定的身份信息是否匹配，过期或信息不匹配直接拒绝请求。该方案无需用户登录交互，令牌由服务端页面渲染时自动下发即可。
• 多层级限流策略
  从多个维度设置限流规则：
  • 单IP维度限流：比如限制单IP每分钟最多请求10次时间接口，超出阈值直接返回429状态码
  • 全局QPS限流：预设接口正常业务访问的峰值QPS，超出阈值的请求直接丢弃，避免服务被攻击打垮
• 请求特征校验
  后端增加请求基础特征校验逻辑：要求请求头Referer为本站域名，User-Agent无明显爬虫特征，无异常自定义请求头，不符合特征的请求直接拦截。该类规则虽然可被攻击者伪造，但能大幅提升低门槛攻击的成本。
• 返回内容混淆
  如果返回的时间仅用于前端页面展示，无需给JS做逻辑计算，可以直接将时间内容转为SVG图片或者CSS伪元素内容返回，攻击者无法通过简单接口调用拿到结构化的时间数据；如果需要给JS逻辑使用，可以对返回的时间内容做轻量对称加密，前端页面内嵌的混淆JS携带解密逻辑，大幅提升攻击者批量解析返回内容的成本。
• 服务端兜底防护
  剥离时间接口和其他业务逻辑的关联，接口仅返回时间信息，不携带任何敏感数据，同时将该接口的服务资源和核心业务资源做隔离，就算被短时大量请求也不会影响核心业务的可用性。

以上方案可以组合使用，比如「动态令牌+IP限流+请求特征校验」的组合，基本可以拦截99%的低门槛恶意滥用行为，针对高成本的定向攻击，再叠加异常流量检测规则即可实现进一步防护。

内容的提问来源于stack exchange，提问作者John C.