网站前后端、小程序、App 之间大多靠 API 传数据。接口一旦失守，泄露的不只是页面，而是整库业务数据。
## 一、鉴权不能裸奔
接口不能「谁都能调」。每个请求要带合法令牌，且令牌要短时效、可吊销。长期不过期的密钥，等于把门禁卡永久借人。
## 二、权限要按角色收
一个普通接口账号能调到的数据，必须和它该看的匹配。越权读取、越权操作，是接口层最高频的失分项。
## 三、敏感数据别明文飞
令牌、手机号、身份信息在传输和存储都要加密。明文在接口间流转，截获即用。
## 四、调用要可监控
异常高频、异常来源、异常参数，这些信号要有监控和限流。我们做安全托管会把 API 层纳入统一防护，让接口「出得去、进不来、看不住的先拦住」。
API 是业务的血管，血管漏了，表面再光鲜也撑不住。接口安全我们按纵深来布。
—
担心网站安全、怕被黑被挂马？安全防御 / SSL 托管 / 网站加速我们都能接。微信 jeans2045、QQ 361611074，先聊再给方案。