编辑推荐
本书深度剖析了API安全漏洞、API安全设计以及API生命周期安全管理等内容。
内容简介
随着API技术的发展和广泛使用，API安全问题越来越受到人们的重视。
本书从API安全的视角出发，介绍了API技术的发展和变化以及不同API技术中常见的安全漏洞，探讨了如何使用自动化安全工具检测API安全漏洞、如何使用API安全设计规避漏洞。
展开全文
- 封面
- 前折页
- 书名页
- 版权页
- 网络空间安全技术丛书专家委员会名单
- 出版说明
- 前言
- 目录
- 第1篇 基础篇
- 第1章 API的前世今生
- 1.1 什么是API
- 1.2 API的发展历史
- 1.2.1 Web技术发展的4个阶段
- 1.2.2 现代API的类型划分
- 1.3 现代API常用的协议和消息格式
- 1.3.1 REST成熟度模型
- 1.3.2 RESTful API技术
- 1.3.3 GraphQL API技术
- 1.3.4 SOAP API技术
- 1.3.5 gRPC API技术
- 1.3.6 类XML-RPC及其他API技术
- 1.4 Top N互联网企业API使用现状
- 1.4.1 API开放平台发展历程
- 1.4.2 API在腾讯的使用现状
- 1.4.3 API在百度的使用现状
- 1.5 小结
- 第2章 API安全的演变
- 2.1 API安全现状
- 2.1.1 什么是API安全
- 2.1.2 API安全问题主要成因
- 2.1.3 API安全面临的主要挑战
- 2.2 API安全漏洞类型
- 2.2.1 常见的API安全漏洞类型
- 2.2.2 OWASP API安全漏洞类型
- 2.3 API安全前景与趋势
- 2.4 小结
- 第3章 典型API安全漏洞剖析
- 3.1 Facebook OAuth漏洞
- 3.1.1 OAuth漏洞基本信息
- 3.1.2 OAuth漏洞利用过程
- 3.1.3 OAuth漏洞启示
- 3.2 PayPal委托授权漏洞
- 3.2.1 委托授权漏洞基本信息
- 3.2.2 委托授权漏洞利用过程
- 3.2.3 委托授权漏洞启示
- 3.3 API KEY泄露漏洞
- 3.3.1 API KEY泄露漏洞基本信息
- 3.3.2 API KEY泄露漏洞利用过程
- 3.3.3 API KEY泄露漏洞启示
- 3.4 Hadoop管理API漏洞
- 3.4.1 Hadoop管理API漏洞基本信息
- 3.4.2 Hadoop管理API漏洞利用过程
- 3.4.3 Hadoop管理API漏洞启示
- 3.5 Apache SkyWalking管理插件GraphQL API漏洞
- 3.5.1 GraphQL API漏洞基本信息
- 3.5.2 GraphQL API漏洞利用过程
- 3.5.3 GraphQL API漏洞启示
- 3.6 小结
- 第4章 API安全工具集
- 4.1 工具分类
- 4.2 典型工具介绍
- 4.2.1 API安全小贴士
- 4.2.2 Burp Suite工具
- 4.2.3 Postman工具
- 4.2.4 SoapUI工具
- 4.3 其他工具介绍
- 4.3.1 自动化工具
- 4.3.2 经典安全工具
- 4.3.3 辅助类工具及综合类工具
- 4.4 小结
- 第5章 API渗透测试
- 5.1 API渗透测试的基本流程
- 5.1.1 API渗透测试的关键点
- 5.1.2 API渗透测试注意事项
- 5.2 API渗透测试步骤
- 5.2.1 信息收集
- 5.2.2 漏洞发现
- 5.2.3 漏洞利用
- 5.2.4 报告撰写
- 5.3 API渗透测试的特点
- 5.3.1 RESTful API类
- 5.3.2 GraphQL API类
- 5.3.3 SOAP API类
- 5.3.4 RPC及其他API类
- 5.4 API安全工具典型用法
- 5.4.1 SoapUI+Burp Suite使用介绍
- 5.4.2 Astra工具使用介绍
- 5.5 小结
- 第2篇 设计篇
- 第6章 API安全设计基础
- 6.1 API安全设计原则
- 6.1.1 5A原则
- 6.1.2 纵深防御原则
- 6.2 API安全关键技术
- 6.2.1 API安全技术栈
- 6.2.2 身份认证技术
- 6.2.3 授权与访问控制技术
- 6.2.4 消息保护技术
- 6.2.5 日志审计技术
- 6.2.6 威胁防护技术
- 6.3 常用场景安全设计
- 6.3.1 API安全中南北向流量与东西向流量的概念
- 6.3.2 API网关与南北向安全设计
- 6.3.3 微服务与东西向安全设计
- 6.4 小结
- 第7章 API身份认证
- 7.1 身份认证的基本概念
- 7.1.1 身份认证在API安全中的作用
- 7.1.2 身份认证技术包含的要素
- 7.2 常见的身份认证技术
- 7.2.1 基于HTTP Basic基本认证
- 7.2.2 基于API KEY签名认证
- 7.2.3 基于SOAP消息头认证
- 7.2.4 基于Token系列认证
- 7.2.5 基于数字证书认证
- 7.3 常见的身份认证漏洞
- 7.3.1 针对回调URL的攻击
- 7.3.2 针对客户端认证凭据的攻击
- 7.3.3 基于JSON数据结构的攻击
- 7.3.4 针对OpenID Connect授权范围的攻击
- 7.4 业界最佳实践
- 7.4.1 案例之微软Azure云API身份认证
- 7.4.2 案例之支付宝第三方应用API身份认证
- 7.5 小结
- 第8章 API授权与访问控制
- 8.1 授权与访问控制的基本概念
- 8.1.1 授权的含义
- 8.1.2 访问控制的含义
- 8.2 API授权与访问控制技术
- 8.2.1 OAuth 2.0协议
- 8.2.2 RBAC模型
- 8.2.3 其他授权与访问控制技术
- 8.3 常见的授权与访问控制漏洞
- 8.3.1 OAuth 2.0协议相关漏洞
- 8.3.2 其他类型的授权或访问控制漏洞
- 8.4 业界最佳实践
- 8.4.1 案例之OAuth在百度开放云平台的使用
- 8.4.2 案例之微信公众平台第三方平台API授权访问
- 8.5 小结
- 第9章 API消息保护
- 9.1 传输层消息保护
- 9.1.1 TLS安全特性
- 9.1.2 TLS握手过程
- 9.1.3 TLS证书使用
- 9.2 应用层消息保护
- 9.2.1 JWT及JOSE相关技术
- 9.2.2 Paseto技术
- 9.2.3 XML及其他格式消息保护
- 9.3 常见的消息保护漏洞
- 9.3.1 JWT校验机制绕过漏洞
- 9.3.2 JWT加解密和算法相关漏洞
- 9.3.3 其他消息保护类型的漏洞
- 9.4 业界最佳实践
- 9.4.1 案例之百度智能小程序OpenCard消息保护
- 9.4.2 案例之微信支付消息保护
- 9.5 小结
- 第3篇 治理篇
- 第10章 API安全与SDL
- 10.1 SDL简介
- 10.1.1 SDL的基本含义
- 10.1.2 SDL对API安全的意义
- 10.2 SDL之API安全培训
- 10.2.1 如何开展API安全培训
- 10.2.2 API安全培训相关工具
- 10.3 SDL之API安全需求
- 10.3.1 如何开展API安全需求
- 10.3.2 API安全需求相关工具
- 10.4 SDL之API安全设计
- 10.4.1 如何开展API安全设计
- 10.4.2 API安全设计相关工具
- 10.5 SDL之API安全实现
- 10.5.1 如何开展API安全实现
- 10.5.2 API安全实现相关工具
- 10.6 SDL之API安全验证
- 10.6.1 如何开展API安全验证
- 10.6.2 API安全验证相关工具
- 10.7 小结
- 第11章 API安全与DevSecOps
- 11.1 DevSecOps简介
- 11.1.1 DevSecOps的基本概念
- 11.1.2 DevSecOps实施关键要点
- 11.2 DevSecOps管道
- 11.2.1 持续集成与持续安全
- 11.2.2 DevSecOps平台
- 11.3 DevSecOps API安全实践
- 11.3.1 设置关键卡点
- 11.3.2 构建不同层面的安全能力
- 11.4 小结
- 第12章 API安全与API网关
- 12.1 API网关产品概述
- 12.1.1 API网关功能介绍
- 12.1.2 API网关产品特性
- 12.2 开源API网关
- 12.2.1 Kong API网关介绍
- 12.2.2 WSO2 API管理平台介绍
- 12.2.3 其他开源API网关产品介绍
- 12.3 业界最佳实践——花椒直播Kong应用实践分析
- 12.4 小结
- 第13章 API安全与数据隐私
- 13.1 数据隐私发展现状简述
- 13.1.1 国内个人信息保护监管现状
- 13.1.2 国外数据隐私监管现状
- 13.2 API安全中的数据隐私保护
- 13.2.1 数据隐私的含义
- 13.2.2 数据生命周期中的隐私保护
- 13.2.3 API技术面临的数据隐私保护风险
- 13.3 业界最佳实践
- 13.3.1 案例之Microsoft API使用条款
- 13.3.2 案例之京东商家开放平台API敏感信息处理
- 13.4 小结
- 后折页
- 封底
展开全部
版权信息
出版社：机械工业出版社
出版时间：2021
作者：钱君生 编著
温馨提示：
1.本电子书已获得正版授权，由出版社通过知传链发行。
2.该电子书为虚拟物品，付费之后概不接收任何理由退款。电子书内容仅支持在线阅读，不支持下载。
3.您在本站购买的阅读使用权仅限于您本人阅读使用，您不得/不能给任何第三方使用，由此造成的一切相关后果本平台保留向您追偿索赔的权利！版权所有，后果自负！
得书感谢您对《API安全技术与实战》关注和支持，如本书内容有不良信息或侵权等情形的，请联系本网站。
出版时间：2021
作者：钱君生 编著
温馨提示：
1.本电子书已获得正版授权，由出版社通过知传链发行。
2.该电子书为虚拟物品，付费之后概不接收任何理由退款。电子书内容仅支持在线阅读，不支持下载。
3.您在本站购买的阅读使用权仅限于您本人阅读使用，您不得/不能给任何第三方使用，由此造成的一切相关后果本平台保留向您追偿索赔的权利！版权所有，后果自负！
得书感谢您对《API安全技术与实战》关注和支持，如本书内容有不良信息或侵权等情形的，请联系本网站。
API安全技术与实战
免费读 (VIP)