随着金融业务全面线上化、开放化，API已成为金融行业数据流转、业务交互和开放生态的核心通道，也是监管关注的重点领域。近年来，人行3号令《业务领域数据安全管理办法》、金办发〔2025〕93号文专项行动、JR/T 0185《商业银行应用程序接口安全管理规范》等文件相继出台，对API安全提出了明确要求。与此同时，API安全威胁持续升级：影子API、僵尸API难以发现，传统WAF和API网关防护不足，AI时代攻击面进一步扩大，敏感数据通过API泄露的场景层出不穷。
近日，合规社举办金融行业API安全对谈直播活动，本期聚焦金融行业API安全，邀请上海翰纬信息科技有限公司数据安全咨询服务负责人张兵与瑞数信息技术（上海）有限公司技术总监吴剑刚展开深度对谈。本次直播吸引近200位行业同仁在线参与，在一个多小时的交流中，两位嘉宾围绕金融行业最关心的18个实战问题，逐一拆解，为在线观众带来了一场兼具深度与可操作性的实战分享。
以下内容依据本场直播整理为精华回顾，将分三篇陆续发布，敬请关注。
直播回顾① | 对谈API安全：原理与风险认知
Q6
人行3号令《中国人民银行业务领域数据安全管理办法》对API安全提出了哪些核心要求？
：2025年，人行发布了《中国人民银行业务领域数据安全管理办法》，对API安全提出了哪些核心要求？
：人行3号令针对业务领域数据，核心要求主要有以下几方面：数据分类分级。数据分为一般、重要、核心三个维度。金融行业做数据安全，首先要完成数据分类分级。
全流程安全管控。覆盖采集、传输、存储、提供、公开、销毁全生命周期。API接口同样如此，从产生、开放到传输、存储、提供、公开、销毁，全过程都要纳入管理。
数据资源目录。API应纳入数据资产目录。办法要求至少每年更新一次。这个频度偏低。API变化很快，实际需要在线系统支撑，至少每周或更短周期更新，否则台账很快失效。
责任划分。谁管业务，谁管数据。API属于哪个业务，就由哪个业务部门负责，承担主体责任。
风险监督处置和安全审计。API访问日志必须全量记录，作为核心溯源依据。
：这些要求落到API上，具体怎么落地？
：API纳入数据资产目录，并做分类分级标识。核心数据API加密传输、访问控制、脱敏展示。这是基本要求。很多金融机构在HTTPS之外，还会对报文做应用层加密。但加密是一把双刃剑：满足合规的同时，传统流量镜像分析可能失效，加密后数据不可见，本身也带来新的风险。另外，建立API数据安全审计机制，敏感访问可溯源。所有访问要有全链路记录，能够回答谁访问了敏感数据、什么时间、做了什么，即5W1H。
：API纳入数据资源目录时，目录里记什么？只记API链接，还是也记API传输的数据？
：不能只记URL。要记录接口及全部请求参数、报文格式和样例。这是数据资源目录最起码的要求，否则无法形成完整的数据资源目录。
Q7
金办发〔2025〕93号文专项行动，API安全对应哪些检查重点？
：金办发〔2025〕93号文与总局数据安全管理办法内容趋同。在93号文专项行动中，API安全对应哪些检查重点？
：金办发〔2025〕93号文要求金融机构先自查、再整改。自查路径是：建台账、定基线、做监测、做整改、做修复，形成闭环。目前阶段，监管现场排查重点是整改情况和资产管理情况。对金融行业而言，93号文是专项行动的行动指南，需要在规定时间内按规范完成。
93号文从六大维度切入，包括数据安全治理、数据分类分级、数据安全管理、数据安全技术保护、个人信息保护、出境数据保护、数据安全风险监测处置。
第一，接口资产识别。要明确API数量、用途、类型和数据级别。台账不能只记接口路径，还要有请求报文样例。例如转账接口可能涉及用户名、口令、转账金额、交易账号、对方账号等敏感数据，其定级必须与数据分类分级一致。
第二，访问控制与鉴权。遵循最小权限原则。用户A登录后，只能访问用户A自己的数据和被授权功能，不能访问用户B的数据。例如，账号只有查询权限，就只能查询，不能发起交易。重点关注未鉴权、弱鉴权和越权访问。越权访问最危险：如果用户A能访问用户B的数据，对金融行业是致命问题。未鉴权是指系统没有有效验证访问者身份，或登录凭证过期、失效后仍允许访问。弱鉴权是指认证机制过于简单，容易被绕过或破解。例如用户登录后，过一段时间无需再次登录，凭Cookie即可访问，如果此时凭证已经失效但仍能访问，就属于未鉴权或鉴权失效。
第三，敏感数据保护。敏感数据要加密传输、脱敏展示、防数据泄露，并防批量泄露。相关安全防护技术要配套。
第四，日志审计与监测。访问日志要完整留存，并在此基础上发现异常行为。可引入UEBA用户行为分析。比如某金融客户账号在凌晨期间被越南、老挝、香港等境外IP不断登录，操控上百个账号交易，这就是典型异常行为。
第五，第三方接口管理。第三方接口要审批、监测，并有退出机制。既包括机构调用第三方接口，也包括第三方调用机构接口。
Q8
JR/T 0185《商业银行应用程序接口安全管理规范》核心要求是什么？
：金融标准方面有两个文件：一个是《商业银行应用程序接口安全管理规范》，另一个是《商业银行应用程序接口安全管理检测规范》。第一个是管理规范，专门针对API接口管理。请吴总介绍其核心要求。
：该规范由人行发布，配套管理规范和检查规范，专门针对商业银行应用程序接口。核心要求主要有以下几方面：
一、接口分级管理。商业银行API按公开、授权、凭证进行分级管理，覆盖设计、开发、测试、部署、运维五个阶段。规范所指接口不限于互联网开放接口，也包括金融机构之间的调用接口和内部数据交互接口。
二、双向身份认证。A和B要互相认证，不能只做单向认证。
三、报文安全。使用国密算法加密，并具备完整性校验、时间戳和防篡改校验。规范出台后，很多银行做接口应用改造，需要支持国密算法。
四、流量控制。按接口分类差异化限流。核心接口、敏感数据接口、非公开非敏感接口，要区别控制。
五、日志留存。规范要求至少6个月。金融交易、保险交易等留存时间可能更长，需按行业要求执行。
六、统一标识码。每个API接口必须有唯一标识，不能用一个接口承载大量不同业务。
七、全生命周期管理。从设计、开发、测试、部署到运维，全过程纳入管理。
规范真正落地，也有几方面难点：存量接口梳理分类工作量大。银行早期接口不一定是Open API模式，也包括C/S架构接口，存量复杂。历史接口改造难，优先级难排序。所有接口支持国密算法，需要应用改造。180天留存要求带来存储成本。
Q9
《商业银行应用程序接口安全管理检测规范》要检测什么、怎么检测？
：怎么根据检测规范来进行检测？
：管理规范和检测规范是配套的，一个管理，一个检查。检测覆盖接口全生命周期四个维度：
部署安全检测。检查部署环境、身份认证、加密传输、访问控制是否落实。
安全集成检测。检查集成过程中的风险，第三方接口上线前是否做过安全评估。
安全运维。检查日志留存、漏洞管理、变更管理、应急响应是否有记录。
检查和审计有区别，检查偏上线前合规性审计，审计偏运行中的实践要求。基本要求是不通过检测不投产，API上线前必须做安全检测。可引入自动化工具，实现问题分级闭环，提高检测效率。
Q10
国标GB/T 46796《数据安全技术 数据接口安全风险监测方法》核心要求是什么？
：国标《数据安全技术 数据接口安全风险监测方法》是2025年发布的，它与金融行业接口安全管理如何结合？核心要求有哪些？
：该标准是首个数据接口安全国家标准，发布时间晚于商业银行接口安全管理规范，但为API接口方案设计和选型提供了对标基准。它提出八大监测要素：资产、身份、调用、数据、行为、异常、风险、处置。API接口设计时，就要考虑这些要素。
标准里提出了三种监测方式，分别是流量解析、日志解析和主动探测。这几种方式各有侧重，最好结合起来用。目前流量解析用得比较多，日志解析也有客户在用，主动探测相对少一些。三种方式结合，有助于发现未知接口。
监测流程覆盖监测准备、数据采集、分析研判、处置，形成从准备到响应的闭环。
标准列出了脆弱性、未授权访问或披露、异常调用、异常提供四类风险源，并给出了建设框架，可用于自建或选型对标。
Q11
如何识别影子API/僵尸API？
：前面提到，影子API和僵尸API识别出来非常难。从吴总的经验来看，如何准确识别这些影子API和僵尸API？
：识别影子API和僵尸API，建议采用三管齐下：以流量为主，文档为基础，主动扫描为辅，并引入AI技术。
流量为主。通过流量镜像做基础识别。国标也提出三种方式结合，流量镜像必不可少。
文档为基础。通过Swagger文件或开发规范获取API资产，进行核对。
主动扫描为辅。盲扫基本不可行，必须先将流量学习或文档提供的API导入扫描器，由扫描器构造请求和响应报文、参数，并可利用AI技术发现未知接口。通过报文重构，扫描器可以穷举V1、V2、V3，发现流量中看不到的老版本接口。这是扫描器与审计的重要区别。
AI智能推理。通过AI推理接口名称和功能，让未知接口显形。
大模型接口覆盖。除传统业务接口外，还要将大模型相关接口纳入资产管理范围。
定期盘点。API资产管理是循环过程，不是一次性工程。业务变化、接口增长、开发人员绕过流程私自开放接口，都会产生新接口。只有持续盘点，才能发现未知接口和影子接口。
：按这些方法，能够比较准确、完整地盘点API资产吗？
：是的。实践中，这种思路比传统单一维度更准确。
图解 | 数据安全技术 数据接口安全风险监测方法
📖 推荐阅读：直播回顾精华合集
