API（应用程序编程接口）已深度融入现代生活，连接着在线运营、银行、交通及社交网络等服务。作为系统开发与实施的关键环节，API安全性至关重要，因其常成为网络攻击和漏洞利用的目标。
Sensedia解决方案负责人Filipe Torqueto指出：“API充当企业网关，必须具备特定级别的安全性。作为不同应用和服务间的连接点，若保护不当，可能暴露敏感数据和关键功能。”Sensedia是一家基于API的现代集成解决方案全球技术参考公司。
OWASP API安全项目报告指出，API常见漏洞包括：对敏感业务流程无限制访问、服务器端请求伪造、安全配置错误、库存管理不足及API消费不安全等。F5 Multicloud研究亦显示，组织平均管理的API超400个，其中许多存在显著保护缺口。
为降低攻击风险，Sensedia高管提出以下5条确保企业API安全的建议：
1) 明确职责
通常API缺乏特定所有者，责任由开发、维护及安全团队共同承担。
Torqueto表示：“有必要明确界定各方角色与责任，即使责任共担。建议采用‘护栏’机制，这对确保接口开发与安全运行至关重要。这些指南和做法有助于团队维持安全质量标准，降低风险并避免常见错误。”
2) 注重良好的治理实践
API使用中的治理实践对确保安全、合规和效率至关重要。其确立的明确准则能促进标准化与互操作性，助力系统集成；同时实现对API访问和使用的高效管控，保护敏感数据并降低风险。
Torqueto解释道：“建议公司建立并集中管理API目录，使其对相关责任人可见且易访问，以促进复用，避免重复开发已有API。”
他补充道：“必须使用与API解决问题相匹配的身份验证和授权形式。以面向公众的API为例，此类应用常面临破解尝试，不仅需遵循稳健的身份验证和授权模型，还必须频繁进行渗透测试，识别潜在攻击向量并确保模型正常运行。”
3) 将人工智能作为另一层保护
人工智能（AI）在API安全中的应用日益有效，可实时检测和缓解威胁。机器学习算法通过分析流量模式识别异常行为，能早期检测代码注入或未经授权的访问等攻击。
Torqueto表示：“应将API安全层视为洋葱结构，层层叠加以增加攻击难度。这包括身份验证、授权、加密、流量监控、HTTPS乃至AI等措施，后者是强大的助力。”
“AI可自动化身份验证和授权流程，提高效率并加强事件响应。凭借适应新威胁和学习历史数据的能力，基于AI的解决方案使API安全更主动稳健，确保系统间交换信息的完整性与机密性。”
4) 投资自动化
API自动化对提升开发与管理效率、敏捷性至关重要。通过自动化测试、持续集成和部署等流程，团队可减少人为错误，加快开发周期，加速新功能交付。
自动化还有助于API监控和管理，使组织能实时识别解决问题，提高应用可靠性与性能，让开发人员专注于战略性与创造性任务，推动市场创新与竞争力。
Torqueto指出：“在无自动化的标准中不存在安全评级。鉴于组织平均管理超400个API，建议企业设立平台团队，自动化执行维护API安全所需的各项措施。”
5) 谨慎选择API提供商
选择合适的API供应商是关键决策，直接影响系统性能与安全性。
他总结道：“选择时应考虑公司声誉与可靠性、安全与合规实践、支持能力、可扩展性及性能等因素。这些预防措施有助于确保所选提供商满足需求，为公司成功做出贡献。”