如何有效管控来自Salesforce的API访问请求的安全性？

完全不依赖IP白名单规则，就算API Key泄露也不会出现越权访问，实现成本极低：

• 给每个Salesforce客户单独分配一对访问密钥ID + 对称加密密钥，和原有API Key做绑定，密钥仅你方和客户方知晓，不随请求传输
• 要求客户在Salesforce的Apex代码/自动化流配置中，按你约定的规则生成请求签名：比如把 API Key + 时间戳 + 请求体的SHA256哈希 拼接后，用分配给他们的对称密钥做HMAC-SHA256加密，生成签名
• 客户发起请求时，将 API Key、时间戳、签名 放到自定义请求头里（比如X-Request-Key、X-Request-Timestamp、X-Request-Sign），不要放到query参数里避免日志泄露
• 你方服务端收到请求后按以下流程校验：
  1. 先校验时间戳和当前时间差是否在5分钟以内，拦截重放攻击
  2. 用API Key找到对应客户的对称密钥，按照同样的规则重新计算签名，和请求携带的签名做比对，比对一致才放行
• 可额外叠加单API Key的请求速率限制，进一步降低风险

适合业务接口安全等级不高，不想让客户做复杂签名改造的场景：

• 每个Salesforce租户实例都有全局唯一的15位/18位组织ID（Organization ID），不会和其他租户重复
• 提前和客户确认其Salesforce组织ID并和对应API Key绑定
• 要求客户在请求头中携带X-SFDC-Organization-Id参数，同时用你分配的密钥对组织ID做简单加密后一并传输，你服务端解密后和预先报备的组织ID比对一致即可放行
• 也可以要求客户使用Salesforce官方的命名凭据（Named Credential）组件配置请求，自带身份标识能力，客户侧配置门槛更低

如果不想改动现有IP白名单的管控框架，可以叠加一层轻量校验，把风险降到最低：

• 先把Salesforce官方公开的CIDR段加入IP白名单，放行该范围的请求
• 对所有来自该IP段的请求，叠加前面提到的签名校验/组织ID校验，只有校验通过的才允许调用业务接口
• 可以给Salesforce来源的API Key设置单独的权限范围，仅开放客户需要的接口，限制调用频次，就算出现泄露影响范围也可控

• 不要依赖Referer、User-Agent这类容易篡改的请求头做身份校验，无任何安全价值
• 要求客户把对称密钥、API Key这类敏感信息存到Salesforce的自定义元数据类型或者命名凭据（Named Credential）里，不要硬编码到Apex代码、前端页面或者公开自动化流中，避免凭证在客户侧泄露
• 时间戳校验建议严格控制在1~10分钟区间，不要设置过长，避免重放攻击

内容的提问来源于stack exchange，提问作者wowbagger