接口（API）是前后端、服务与服务之间交互的核心通道，也是系统对外暴露攻击面最大的一环。OWASP 反复强调：API 是最容易被攻击者利用的入口之一——一次未鉴权的越权调用、一段明文传输的用户信息、一个缺少限流的查询接口，都可能演变为严重的安全事故。

本文面向测试工程师与研发同学，从威胁全景、传输安全、常见漏洞攻击手法、安全测试实战到防护最佳实践，系统梳理接口安全知识体系。

一、接口安全概述

1.1 什么是接口安全

接口安全指围绕 API 的调用过程，保障其机密性（Confidentiality）、完整性（Integrity）、可用性（Availability） 不被破坏的一系列技术与措施，涉及认证、授权、传输加密、输入校验、限流防刷、审计日志等多个维度。